Доброго времени суток.
Делал свою авторизацию для веб приложения на ASP.NET Blazor и столкнулся с проблемой.
Работает/не работает это сейчас так:
- пользователь вводит логин/пароль;
- мы ищем в БД такую пару. Если нет, то ничего, просто пишем пользователю что он не залогинился. Если есть - переадресовываем его на index, а в куки даём ему уникальный ключик, с которым ассоциируем его уровень доступа;
- при каждом GET запросе берём этот ключик, и сравниваем с сохранёнными активными сессиями, и если есть сессия с таким ключом то определяем по нему уровень доступа и сохраняем его в Singleton такого вида:
public class AppData
{
public string user { get; set; }
public DBUser currentUser { get; set; }
}
Вот такой GET запрос:
public void OnGet() {
var userId = HttpContext.Request.Cookies["user"];
if (string.IsNullOrEmpty(userId)) {
userId = -1 + "";
}
appData.user = userId;
appData.currentUser = UsersHandler.getUserFromCacheById(userId);
DBHandler.errors.Add("get as " + appData.currentUser.login);
}
Если нет такой сохранённой сессии, то отправляем пользователя на шаг 1;
- при нажатии кнопки разлогиниться - удаляем сессию.
Может я конечно изобрёл дурь какую, прошу сильно не ругать. Но мне очень хотелось использовать существующую таблицу с пользователями.
А теперь собственно в чём сама проблема. Оказалось что GET запрос отправляется не при каждом переходе между страницами, а только когда нажимается кнопка "обновить", или открывается ранее не открывавшаяся страница. Видимо так экономятся ресурсы сервера. Но из за этого у меня возникает ситуация, когда пользователь u1 зашёл с ролью r1, а пользователь u2 зашёл как r2. После того как, например u1 перейдёт на другую страницу с выполнением GET запроса, обновив currentUser и user в AppData, у u2, пока тот не отправит GET запрос, всё выглядит так, будто роль у него не r2, а r1.
У меня была идея отправлять GET запросы при любой перезагрузке страницы, но я не нашёл способа. Ну да и выглядит это как костыль. Здорово было бы иметь возможность хранить для каждой сессии экземпляр DBUser в отдельном месте. Но я совершенно не понимаю как этого добиться.
Я сперва думал что singleton сервис для каждой сессии свой, оказалось что он общий на всё приложение. То же самое со static классами.
Есть вообще в приложении такое место где бы можно было хранить, для каждого пользователя свой экземпляр класса DBUser, ну или хотя-бы как string ключ user?
Я даже доступ к куки могу получить только в GET запросе, или через IJSRuntime, но уже после отрисовки. А после отрисовки он мне уже не нужен...
У меня уже нет никаких идей, подскажите пожалуйста.
А теперь собственно в чём сама проблема. Оказалось что GET запрос отправляется не при каждом переходе между страницами, а только когда нажимается кнопка "обновить", или открывается ранее не открывавшаяся страница.
- вы сами понимаете, как ваше приложение работает? Вы создаете single page application? В обычном веб приложении каждая новая страница является результатом get запроса.