0

我看到这段代码的问题是它会被大量重用；由经过身份验证的用户（站点管理员除外）编辑/创建的任何内容都只能访问他们的“工作室”对象。

我对你们所有人的问题；您将如何重新考虑这一点，以便可以将服务层从客户端的知识中抽象出来。我打算稍后在独立的桌面应用程序中重用服务层。

请阐明我的错误方式！我非常感激。

AuthorizeOwnerAttribute.cs (AuthorizeAttribute)

protected override bool AuthorizeCore(HttpContextBase httpContext)
{
    // Get the authentication cookie
    string cookieName = FormsAuthentication.FormsCookieName;
    HttpCookie authCookie = httpContext.Request.Cookies[cookieName];

    // If the cookie can't be found, don't issue the ticket
    if (authCookie == null) return false;

    // Get the authentication ticket and rebuild the principal & identity
    FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value);
    string[] userData = authTicket.UserData.Split(new[] { '|' });

    int userId = Int32.Parse(userData[0]);
    int studioID = Int32.Parse(userData[1]);
    GenericIdentity userIdentity = new GenericIdentity(authTicket.Name);
    WebPrincipal userPrincipal = new WebPrincipal(userIdentity, userId, studioID);
    httpContext.User = userPrincipal;

    return true;
}

在我的“用户”控制器内部，将此属性附加到任何需要所有者的方法

    [AuthorizeOwner]
    public ActionResult Edit(int Id)
    {
        IUser user = userService.GetById(HttpContext.User, Id);
        return View(user);
    }

现在，在我的服务层中，我正在检查传递下来的 IPrincipal 是否有权访问被请求的对象。这是它变得臭的地方：

用户服务.cs

    public IUser GetById(IPrincipal authUser, int id)
    {
        if (authUser == null) throw new ArgumentException("user");

        WebPrincipal webPrincipal = authUser as WebPrincipal;
        if (webPrincipal == null) throw new AuthenticationException("User is not logged in");

        IUser user = repository.GetByID(id).FirstOrDefault();
        if (user != null)
        {
            if (user.StudioID != webPrincipal.StudioID) throw new AuthenticationException("User does not have ownership of this object");
            return user;
        }

        throw new ArgumentException("Couldn't find a user by the id specified", "id");
    }
4

1 回答 1

2

我不确定我是否会将实际 ID 存储在 cookie 中，这有点太暴露了。我更倾向于使用 Session 哈希来存储该数据，从而将其保存在服务器上并且不暴露。

我还将使用模型（通过传递用户ID）来确定要返回的对象，即那些具有匹配的studioID 的对象。这样，您的控制器只需调用“GetObjects(int id)”，如果他们无权访问任何内容，那么您将返回一个 null 或空集合。这对我来说感觉更干净。

于 2009-11-05T15:30:23.367 回答