2

Tengo una aplicación en MVC la cual tiene varas páginas (Views). La página principal es una autenticación, la cual requiere nombre de usuario y contraseña.

Lo que requiero es proteger todas las paginas (cshtml) para que no sea posible acceder sin pasar por la página de autenticación primero.

Se que esto se debe hacer desde el web.config pero todos los cambios que hago no resultan.

¿Podrían guiarme para lograr lo que requiero?

2 respuestas 2

3

No es necesario modificar algo en el web.config.

Lo único que debes hacer es decorar los ActionResult de tus controladores con el atributo [Authorize], así:

[Authorize]
public ActionResult Protegida(int id)
{
    ...
    return View();
}

O puedes hacerlo al revés, decoras el Controller con el atributo Authorize y a los métodos que permitan acceso anónimo los decoras con el atributo [AllowAnonymous]:

[Authorize]
public class HomeController
{
    [AllowAnonymous]
    public ActionResult Index()
    {
        return View();
    }

    public ActionResult AccionProtegida()
    {
        ...
        return View();
    }
}


EDIT

Authorize solo tiene dos resultados: true o false para la pregunta "¿el usuario está autenticado?". Si así es, lo deja acceder; si no lo está entonces responde con un 401: No autorizado y redirige necesariamente a la página de inicio de sesión (que puedes configurar). Esta página recibirá un parámetro ReturnUrl que especifica hacia dónde será redirigio el usuario si su login es exitoso.

Incluso puedes construir tus propios atributos de autorización:

namespace MiWeb
{
    [AttributeUsage(AttributeTargets.Method, AllowMultiple = false, Inherited = true)]
    internal class MyCustomCheckAttribute : AuthorizeAttribute
    {
        //Puedes crear propiedades para OPCIONALMENTE agregar filtros al usuario
        private string rol;
        public string Rol
        {
            get
            {
                return this.rol;
            }
            set
            {
                this.rol = value;
            }
        }

        //Para crear un atributo de filtro personalizado, basta con
        //hacer "override" en dos métodos:
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        {
            //Si no pasa la prueba como un "Authorize" normal
            if (!base.AuthorizeCore(httpContext))
            {
                return false;
            }

            //TODO:
            //Lo que necesites validar, por ej.
            if (rol is string)
            {
                if (!httpContext.User.IsInRole(rol))
                {
                    return false;
                }
            }
            return true;
        }

        //Si el usuario no pasó la prueba (retornó false), se ejecuta esto:
        protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        {
            filterContext.Result = new HttpUnauthorizedResult();
        }
    }
}

y lo usas en lugar del atributo [Authorize] (solo recuerda usar el namespace de donde se encuentre tu atributo personalizado):

using MiWeb;
...
[MyCustomCheck(Rol = "Administrador")] //Lo que va entre () son las propiedades opcionales
public ActionResult Protegida(int id)
{
    ...
    return View();
}
2
  • hola, pero el atributo [Authorize] deja pasar al usuario cierto? si es asi, requiero lo contrario, necesito bloquear cada view para solo autorizar el login y si pasa el autenticacion ahi si poder ver las otras paginas Commented el 20 oct. 2017 a las 20:05
  • Puse un poco más de explicación y algo más en mi respuesta, revisa si te sirve :) Commented el 20 oct. 2017 a las 21:39
0

Sin duda lo que requires es crear un FilterAttribute, donde por medio de una notación al controlador se invoca justo antes para que pueda validar si la sesión es válida. Este ejemplo utiliza la autenticación Owin pero lo puedes usar con cualquier otro tipo de autenticación:

public class ValidateAuthenticationFilterAttribute : ActionFilterAttribute
{
    IAuthenticationManager Authentication
    {
        get { return System.Web.HttpContext.Current.GetOwinContext().Authentication; }
    }

    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        if (!Authentication.User.Identity.IsAuthenticated)
        {
            filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary(new { controller = "Login", action = "Index" }));
        }
        base.OnActionExecuting(filterContext);
    }
}

Donde únicamente para ponerlo a trabajar se invoca de la siguiente manera:

[ValidateAuthenticationFilter]
public class TestController : Controller
{
    //To Do
}

El código anterior funciona bien, sin embargo, como mejor práctica recomiendo que crees un controlador global para que solo pongas una única vez la referencia al FilterAtribute, sin la necesidad de estar escribiendo la notación del filtro cada que des de alta un controlador. Por ejemplo:

Código del atributo de filtro:

public class ValidateAuthenticationFilterAttribute : ActionFilterAttribute
{
    //Lógica para validar la sesión
}

Código del controlador global:

[ValidateAuthenticationFilter]
public class GlobalController : Controller
{
    //Acciones genéricas para todos los controladores
}

Código de cualquier controlador que des de alta en tu proyecto:

public class TestController : GlobalController
{
    //Acciones y lógica de cualquier controlador
}

De esta forma, al heredar del controlador global, en automático se estaría validando la sesión. Para que la respuesta quede más completa de acuerdo a tus necesidades, sería bueno que editaras tu pregunta poniendo el tipo de autenticación que usas en tu aplicación y poder ajustar el código.

4
  • Hola gracias por tu respuesta. Mira mi problema es que tengo un usuario local llamado administrador. Cuando la pagina de login se abre, si el usuario esta autenticado este deja entrar a la pagina llamada index return RedirectToAction("Index", ""); Lo que requiero hacer es proteger la pagina index y todas las demas paginas, para que cuando mi usuario administrador este auntenticado ahi se puedan abrir Si pongo el atributo [Autorize] a index, este bloquea el acceso pero no reconoce que el usuario este autenticado o no, y es donde tengo el problema Commented el 1 nov. 2017 a las 17:32
  • @Aarancibia ya veo cuál es el problema, básicamente tu login es una validación cualquiera contra un archivo. Lo que debes hacer es crear una identidad al usuario autenticado y ya con eso funcionará el [Authorize] y el [Claim] de mi respuesta. De momento no me es posible actualizar mi respuesta pero dame una hora y enseguida la reviso ;)
    – Phi
    Commented el 1 nov. 2017 a las 18:24
  • Hola si eso mismo es!! gracias esperare tu respuesta. Gracias nuevamente :) Commented el 1 nov. 2017 a las 19:33
  • hola espero que estes bien. Cuando tengas tiempo podrias ver lo que me mencionaste la semana pasada? Saludos Commented el 6 nov. 2017 a las 13:57

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.