0

Buenos días

Estoy trabajando en un proyecto con MVC 5 con Entity Framework, como saben las tablas para el registro de usuarios y roles se genera automático es muy fácil con entity framework, bueno lo que quiero realizar es la personalización de los permisos que debe tener el usuario.

Por el momento estoy resolviendo con lo siguiente:

@if (User.IsInRole("Administrador"))

 {

    <script>
            $('#Gestion').toggle();
            $('#Clientes').toggle();

    </script>
    }

 @if (User.IsInRole("Solicitud"))

        {
        <script>
            $('#Gestion').toggle();
            $('#Clientes').hide();
        </script>
  }

esta validación la realizo desde la vista.

También valido desde el controlador que el usuario debe estar Logueado

public ActionResult Create()

    {

        var estaAutemticado = User.Identity.IsAuthenticated;
        if (estaAutemticado == true)
        {
            return View();
        }
        else
        {
            return RedirectToAction("Index", "Home");

            // return null;
        }

    }

me esta funcionando por que puedo agregar nuevos usuarios y darles los permisos que tengo validado en la vista pero es algo estatico, quiero hacer algo dinamico.

eje: el proyecto ya esta finalizado y en producción y me piden agregar un usuario que solo tendrá permisos para registrar clientes tendría que modificar el proyecto.

quiero dar los permisos desde la base de datos. cree una tabla de permisos tiene PermisoID, Modulo, descripción el campo modulo hace referencia a la vista que tengo en el controlador.

Necesito ayuda para hacer esa parte, que el usuario logueado solo tenga acceso a los permisos que tenga en esa tabla, o si saben otra forma.

6
  • bienvenido/a a SOes, te recomiendo lo siguiente: 1. Visitar es.stackoverflow.com/tour para que obtenas un panorama claro de cómo funciona el sitio, de paso obtienes tu primera medalla. 2. Lo que pides lo solucionas rápidamente con un ActionFilter que si en caso no esté logeado, que lo redirecciones al Index del HomeController. 3. Con respecto a la tabla de permisos, en el mismo filtro preguntas si tiene permiso y en caso que no tenga, lo redireccionas a una página que le diga algo como: "Brother, no tienes permiso".
    – fredyfx
    Commented el 1 dic. 2017 a las 16:57
  • Finalmente me gustaría que se entienda que SOes no es un sitio para pedir que hagan código para uno, a veces piden tareas sin haber intentado. Intentar es la clave para que una pregunta tenga su respectiva respuesta, dale con el método de prueba/error, desarrolla lo que puedas y en caso necesites una mano para debuggear, con mucho cariño te ayudamos a completar la feature. Saludos :D
    – fredyfx
    Commented el 1 dic. 2017 a las 17:00
  • PD: Dado que es inexistente una mala intención de mi parte, espero que se tome a bien los comentarios. Que la fuerza os acompañe mi estimado :D
    – fredyfx
    Commented el 1 dic. 2017 a las 17:01
  • muchas gracias estimado por la ayuda.
    – SOTELO
    Commented el 1 dic. 2017 a las 17:52
  • de nada hermano, masbien, aquí tienes un punto de partida: codeproject.com/Articles/875547/… feliz navidad :)
    – fredyfx
    Commented el 1 dic. 2017 a las 19:17

1 respuesta 1

1

Hola SOTELO primero que nada es necesario que entiendas una cosa: No es lo mismo Autenticación que Autorización dicho esto te explico como puedes sacarle el máximo provecho a Identity ya que como bien dices al principio se te han creado las tablas de Usuarios, Roles y Rolesusuarios respectivamente al crear el proyecto, esto es debido a que utilizas la auteticación individial de usuario en tu BD mediante Identity. Vamos a lo importante. Supongamos que tienes un controlador llamado ClientesController.

namespace WebApp1.Controllers
{
[Authorize]
public class ClientesController : Controller
{
    private ApplicationDbContext db = new ApplicationDbContext();

    // GET: /Clientes/
    public ActionResult Index()
    {
        return View(db.Clientes.ToList());
    }

    // GET: /Clientes/Details/5
    public ActionResult Details(int? id)
    {
        if (id == null)
        {
            return new HttpStatusCodeResult(HttpStatusCode.BadRequest);
        }
        Cliente cliente = db.Clientes.Find(id);
        if (cliente == null)
        {
            return HttpNotFound();
        }
        return View(cliente);
    }

    // GET: /Clientes/Create
    public ActionResult Create()
    {
        return View();
    }

    // POST: /Clientes/Create
    // To protect from overposting attacks, please enable the specific properties you want to bind to, for 
    // more details see http://go.microsoft.com/fwlink/?LinkId=317598.
    [HttpPost]
    [ValidateAntiForgeryToken]
    public ActionResult Create([Bind(Include="Id,Nombre,Edad,Empresa")] Cliente cliente)
    {
        if (ModelState.IsValid)
        {
            db.Clientes.Add(cliente);
            db.SaveChanges();
            return RedirectToAction("Index");
        }

        return View(cliente);
    }

    // GET: /Clientes/Edit/5
    public ActionResult Edit(int? id)
    {
        if (id == null)
        {
            return new HttpStatusCodeResult(HttpStatusCode.BadRequest);
        }
        Cliente cliente = db.Clientes.Find(id);
        if (cliente == null)
        {
            return HttpNotFound();
        }
        return View(cliente);
    }

    // POST: /Clientes/Edit/5
    // To protect from overposting attacks, please enable the specific properties you want to bind to, for 
    // more details see http://go.microsoft.com/fwlink/?LinkId=317598.
    [HttpPost]
    [ValidateAntiForgeryToken]
    public ActionResult Edit([Bind(Include="Id,Nombre,Edad,Empresa")] Cliente cliente)
    {
        if (ModelState.IsValid)
        {
            db.Entry(cliente).State = EntityState.Modified;
            db.SaveChanges();
            return RedirectToAction("Index");
        }
        return View(cliente);
    }

    // GET: /Clientes/Delete/5
    public ActionResult Delete(int? id)
    {
        if (id == null)
        {
            return new HttpStatusCodeResult(HttpStatusCode.BadRequest);
        }
        Cliente cliente = db.Clientes.Find(id);
        if (cliente == null)
        {
            return HttpNotFound();
        }
        return View(cliente);
    }

    // POST: /Clientes/Delete/5
    [HttpPost, ActionName("Delete")]
    [ValidateAntiForgeryToken]
    public ActionResult DeleteConfirmed(int id)
    {
        Cliente cliente = db.Clientes.Find(id);
        db.Clientes.Remove(cliente);
        db.SaveChanges();
        return RedirectToAction("Index");
    }

    protected override void Dispose(bool disposing)
    {
        if (disposing)
        {
            db.Dispose();
        }
        base.Dispose(disposing);
    }
}

}

Fíjate en lo que he puesto encima del controlador Clientes [Authorize] al declarar esto Identity supone que todo aquel que intente entrar al controlador Clientes debe estar autenticado. ejemplo si corremos el proyecto y ponemos en la url localhost:puerto/clientes/****, si no estamos logueados identity nos redirige al Login, aqui se ve un ejemplo de Autenticación. Ahora veamos un ejemplo de Autorización basada en roles que se adapta muy bien a lo que necesitas.

[Authorize]
public class ClientesController : Controller
{
    private ApplicationDbContext db = new ApplicationDbContext();

    // GET: /Clientes/
    public ActionResult Index()
    {
        return View(db.Clientes.ToList());
    }

    // GET: /Clientes/Details/5
    public ActionResult Details(int? id)
    {
        if (id == null)
        {
            return new HttpStatusCodeResult(HttpStatusCode.BadRequest);
        }
        Cliente cliente = db.Clientes.Find(id);
        if (cliente == null)
        {
            return HttpNotFound();
        }
        return View(cliente);
    }

    // GET: /Clientes/Create
    [Authorize(Roles="Administrador")]
    public ActionResult Create()
    {
        return View();
    }

    // POST: /Clientes/Create
    // To protect from overposting attacks, please enable the specific properties you want to bind to, for 
    // more details see http://go.microsoft.com/fwlink/?LinkId=317598.
    [HttpPost]
    [Authorize(Roles="Administrador")]
    [ValidateAntiForgeryToken]
    public ActionResult Create([Bind(Include="Id,Nombre,Edad,Empresa")] Cliente cliente)
    {
        if (ModelState.IsValid)
        {
            db.Clientes.Add(cliente);
            db.SaveChanges();
            return RedirectToAction("Index");
        }

        return View(cliente);
    }

    // GET: /Clientes/Edit/5
    public ActionResult Edit(int? id)
    {
        if (id == null)
        {
            return new HttpStatusCodeResult(HttpStatusCode.BadRequest);
        }
        Cliente cliente = db.Clientes.Find(id);
        if (cliente == null)
        {
            return HttpNotFound();
        }
        return View(cliente);
    }

    // POST: /Clientes/Edit/5
    // To protect from overposting attacks, please enable the specific properties you want to bind to, for 
    // more details see http://go.microsoft.com/fwlink/?LinkId=317598.
    [HttpPost]
    [ValidateAntiForgeryToken]
    public ActionResult Edit([Bind(Include="Id,Nombre,Edad,Empresa")] Cliente cliente)
    {
        if (ModelState.IsValid)
        {
            db.Entry(cliente).State = EntityState.Modified;
            db.SaveChanges();
            return RedirectToAction("Index");
        }
        return View(cliente);
    }

    // GET: /Clientes/Delete/5
    public ActionResult Delete(int? id)
    {
        if (id == null)
        {
            return new HttpStatusCodeResult(HttpStatusCode.BadRequest);
        }
        Cliente cliente = db.Clientes.Find(id);
        if (cliente == null)
        {
            return HttpNotFound();
        }
        return View(cliente);
    }

    // POST: /Clientes/Delete/5
    [HttpPost, ActionName("Delete")]
    [ValidateAntiForgeryToken]
    public ActionResult DeleteConfirmed(int id)
    {
        Cliente cliente = db.Clientes.Find(id);
        db.Clientes.Remove(cliente);
        db.SaveChanges();
        return RedirectToAction("Index");
    }

    protected override void Dispose(bool disposing)
    {
        if (disposing)
        {
            db.Dispose();
        }
        base.Dispose(disposing);
    }
}

Si te fijas bien se mantiene [Authorize] encima del controlador pero en la Action Create he establecido una nueva regla de Autorizo con [Authorize(Roles="Administrador")]. De esta forma Identity reconoce que todo usuario logueado podrá acceder a /Clientes/*** exepto a /Clientes/Create puesto que se necesita un usuario logueado con rol Administrador.

Vamos a probar esto. Te recomiendo que elimines la tabla Permiso que creaste puesto que está de más ya que Identity ha creado una.

Crea un usuario mediante la aplicación en register luego de ver en tu BD como se ha creado el ususario ve a la tabla AspNetRoles y crea un Rol manual ponle de Id 1 y Name Administrador, fíjate que el nombre sea = al que tiene [Authorize] en la acción Create.

Luego de insertar el Rol ve a la tabla AspNetUserRoles y en UserId pones el Id del usuario que creastes, debe ser un cod hash y en RoleId pones 1 que es el Id del rol que creastes manualmente. De esta forma especificastes un usuario con rol Administrador de forma manual, recuerda que esto es para ver como funciona el Autorizo por roles, por si te cabe la duda Identity tiene métodos para crear roles y asignar usuarios a dichos roles pero eso no te lo explicaría aquí.

Prueba entrar ahora a Clientes/Create con ese usuario y verás como te deja. Ese es el enfoque que necesitas para hacer lo que quieres. Espero te sea de ayuda

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.