Пользовательская авторизация ASP.NET MVC

У меня вопрос о пользовательской авторизации в MVC.

У меня есть сайт, на котором я хочу ограничить доступ к определенным страницам, в зависимости от их членства в группе. Теперь я видел множество примеров того, как это сделать, если есть, например, одна группа администраторов и одна группа пользователей, но не примеры для третьего уровня.

Например, только пользователи компании могут просматривать заказы для своей собственной компании (и у каждой компании есть свои администраторы и т.д.). Эти компании хранятся в БД. Поэтому я видел способы сделать настраиваемую авторизацию, переопределяя метод AuthorizeCore в AuthorizeAttribute, но я не знаю, как получить доступ к параметрам, переданным в контроллер, чтобы узнать, имеет ли пользователь доступ к заказу (заказ id, например).

Это даже лучшее место для проверки, или это просто нужно обрабатывать непосредственно из метода контроллера?

Ответ 1

AuthorizationContext (параметр OnAuthorize) обеспечивает доступ к контроллеру, RouteData, HttpContext и т.д. Вы должны иметь возможность использовать их в настраиваемом фильтре авторизации, чтобы делать то, что вы хотите. Ниже приведен образец кода из атрибута RoleOrOwnerAttribute, полученного из AuthorizeAttribute.

public override void OnAuthorization( AuthorizationContext filterContext )
{
    if (filterContext == null)
    {
        throw new ArgumentNullException( "filterContext" );
    }

    if (AuthorizeCore( filterContext.HttpContext )) // checks roles/users
    {
        SetCachePolicy( filterContext );
    }
    else if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
    {
        // auth failed, redirect to login page
        filterContext.Result = new HttpUnauthorizedResult();
    }
    // custom check for global role or ownership
    else if (filterContext.HttpContext.User.IsInRole( "SuperUser" ) || IsOwner( filterContext ))
    {
        SetCachePolicy( filterContext );
    }
    else
    {
        ViewDataDictionary viewData = new ViewDataDictionary();
        viewData.Add( "Message", "You do not have sufficient privileges for this operation." );
        filterContext.Result = new ViewResult { MasterName = this.MasterName, ViewName = this.ViewName, ViewData = viewData };
    }

}

// helper method to determine ownership, uses factory to get data context,
// then check the specified route parameter (property on the attribute)
// corresponds to the id of the current user in the database.
private bool IsOwner( AuthorizationContext filterContext )
{
    using (IAuditableDataContextWrapper dc = this.ContextFactory.GetDataContextWrapper())
    {
        int id = -1;
        if (filterContext.RouteData.Values.ContainsKey( this.RouteParameter ))
        {
            id = Convert.ToInt32( filterContext.RouteData.Values[this.RouteParameter] );
        }

        string userName = filterContext.HttpContext.User.Identity.Name;

        return dc.Table<Participant>().Where( p => p.UserName == userName && p.ParticipantID == id ).Any();
    }
}


protected void SetCachePolicy( AuthorizationContext filterContext )
{
    // ** IMPORTANT **
    // Since we're performing authorization at the action level, the authorization code runs
    // after the output caching module. In the worst case this could allow an authorized user
    // to cause the page to be cached, then an unauthorized user would later be served the
    // cached page. We work around this by telling proxies not to cache the sensitive page,
    // then we hook our custom authorization code into the caching mechanism so that we have
    // the final say on whether a page should be served from the cache.
    HttpCachePolicyBase cachePolicy = filterContext.HttpContext.Response.Cache;
    cachePolicy.SetProxyMaxAge( new TimeSpan( 0 ) );
    cachePolicy.AddValidationCallback( CacheValidateHandler, null /* data */);
}

Ответ 2

Если авторизация действительно такая динамическая, я бы обработал ее в контроллере. У меня есть одно действие, в котором я это делаю - вы можете вернуть HttpUnauthorizedResult для перенаправления на страницу входа в систему или вы можете показать пользовательскую ошибку в своем представлении.

Я не перенаправляю по умолчанию на страницу входа, когда кто-то уже вошел в систему, но не в правильной роли. Это очень запутанно для пользователя.

Ответ 3

Мой ответ невелик, потому что он убивает модульное тестирование, но я вытягиваю значения из System.Web.HttpContext.Current.Session. Синглтон доступен во всем проекте. Сохраняя текущего пользователя в сеансе, вы можете получить его из любого места, включая служебные классы, такие как AuthorizeAttribute.

Мне бы хотелось увидеть решение с возможностью тестирования.