1

Объясните пожалуйста, есть роль в БД admin, над контроллерами [Authorize(Roles="admin")] завтра пользователь захочет создать роль moder и дать ей права на редактирования новостей к примеру. Это тупо лезть в код и дописывать роль. Как правильно сделать, что бы у ролей были права? Например editNews addNewPost и тд? Это можно сделать с помощью Microsoft.AspNetCore.Identity или самому всю логику описывать и в самих методах проверять по пользователю его роль, а потом, имеет ли роль права?

5
  • 2
    Никакой Microsoft.AspNetCore.Identity за вас не решит, что конкретный юзер может делать на вашем сайте, а чего не может делать. Это всё вы сами прописываете аттрибутами или логикой
    – tym32167
    14 мар 2019 в 10:31
  • @tym32167 я наверное не правильно сформулировал вопрос. Я подумал что Identity может уже иметь функционал для permissoins для ролей и я атрибутами задам на методах какие должны быть разрешения а администратор уже сможет на ролях назначать разрешения. 14 мар 2019 в 10:39
  • Откуда Microsoft.AspNetCore.Identity может знать, какие есть разрешения на вашем сайте?
    – tym32167
    14 мар 2019 в 10:41
  • @tym32167 то есть мне надо его расширить? В его родных таблицах создать поле с интендификтором разрешений, создать таблицу с разрешениями, поженить их и проверять? Я просто запутался не могу понять что нужно сделать( 14 мар 2019 в 10:45
  • Ну почему сразу "расширить"? Дал ответ, в котором есть вариант без расширения.
    – A K
    14 мар 2019 в 10:46

3 ответа 3

2

Ваш вопрос заключается не в том, чтобы у ролей были права, а в том, как вынести настройки из кодовой базы в настройки, хранящиеся в базе данных, чтобы их было можно менять без привлечения программиста, а просто "галочек понатыкать".

Если вы хотите хранить это в базе - то это действительно возможно, но Identity не умеет подобное из коробки.

Как именно хранить в базе - это деталь реализации.

Во-первых, вы можете ничего в структуре базы не менять, только поменять свой код. Представьте, что у вас есть не роль "Admin" а десяток ролей "AddNews", "EditNews" и т.п. (по одной на каждой action).

Да, это будет трудоёмко для администратора системы - каждый раз натыкивать множество галочек, но если ваша задача состояла только в том, чтобы перенести нагрузку с программиста на настройщика - это вполне себе решение, некоторые фирмы покупают такое и готовы сами кликать, чем снова вызывать программиста.

Второй вариант вы озвучили - добавить описание роли. Ну, тут снижается нагрузка на администратора системы, который администрирует права, но и вам придётся больше кода написать.

Так что решений может быть довольно много, какое именно - это вам самим нужно решать. Но вот что в Identity может и не быть подобных инструментов "из коробки" - это нужно понимать.

0

В ASP.NET нет концепции прав, только роли. Сделано так потому, что реализация механизма прав — непростая задача, и её возможности не нужны для большинства сайтов.

Кроме того, сам подход не очень корректен с точки зрения безопасности. Предположим, что у вас есть сайт для пользователей и есть фоновые задачи, которые чистят базу в указанное время. Фоновые задачи это обычные консольные приложения, которые запускают код вашей предметной области, и вам бы наверное хотелось, чтобы они не могли удалять данные, на которые у них нет прав. В консольном приложении нет контроллеров и нет атрибутов Authorize, поэтому вы не можете защитить доступ к данным от фоновых задач.

Так что, если у вас сложная логика и повышенные требования к безопасности, встраивайте защиту в слой бизнес-логики не выносите её на уровень представления. Если у вас не очень всё сложно, используйте роли. Благо, один пользователь может иметь несколько ролей одновременно. Чтобы разные пользователи не могли испортить работу друг друга, создавайте роли по их роду деятельности. Не условный модератор, а редактор новостей: он может удалять и редактировать новости, но ничего другого не может. Если надо, чтобы пользователь мог и новости редактировать и цены менять, назначьте ему две роли.

2
  • 1
    фоновые задачи, которые чистят базу в указанное время зачем фоновым задачам какие то права? Это же просто какой то код. Если уж начинать консольки ограничивать, тогда придется этим консолькам аутентифицироваться и авторизоваться через API, а не лазать в БД напрямую
    – tym32167
    14 мар 2019 в 11:14
  • @tym32167 Естественно, лучше им не лазить в БД напрямую, а работать через слой бизнес-логики, поскольку там уже реализованы ограничения. В этом случае аутентифицироваться надо, только не через API, а на уровне бизнес-логики. Собственно, об этом я и пишу. 17 мар 2019 в 13:36
0

В asp.net core 2 и выше точно присутствует функционал прав пользователя и прав роли. Пользователь может иметь роль, а роль право, соответственно пользователь тоже имеет данное право. Права это так называемые Claims (утверждения). По основным классам Identity можно почитать тут: https://metanit.com/sharp/aspnet5/16.11.php

Почитайте про задание Claims пользователям и ролям. Ограничения на вход в методы уже вам нужно будет делать через политики: https://metanit.com/sharp/aspnet5/15.6.php

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.