Hace un tiempo me encontré con este artículo (en inglés) que habla sobre por qué es mala idea hacer autorizaciones basadas en roles. Básicamente lo que dice es:
No hagas autorizaciones basadas en roles, has autorizaciones basadas en la actividad.
Si los roles tienen permitido hacer cierta actividad, puedes cambiar de esto:
[Authorize(Roles = "Admin")]
public ActionResult AdminPanel()
{
return View();
}
a algo así:
[AuthorizeActivity(Vista = "AdminPanel")]
public ActionResult AdminPanel()
{
return View();
}
Así, puedes tener las configuraciones de los perfiles en la base de datos y cambiar quién tiene permiso sobre qué sin necesidad de recompilar.
Una implementación que yo hice sobre esto fue así:
namespace MiSitio
{
/// <summary>
/// Verifica el nivel de autorización del usuario. Permite el acceso si el nivel de autorización del usuario tiene el permiso.
/// </summary>
[AttributeUsage(AttributeTargets.Method, AllowMultiple = false, Inherited = true)]
internal class AuthorizeActivityAttribute : AuthorizeAttribute
{
// Un modelo que hace las consultas a la base de datos sobre el usuario actual.
private CurrentUser Usuario { get; set; }
/// <summary>
/// Nombre de la acción que se debe verificar.
/// </summary>
[DebuggerHidden]
public string Vista { get; set; }
...
/// <summary>
/// Evaluación de permisos. Confirma permisos en cascada, devolviendo <code>true</code> si el usuario ha pasado todas las
/// pruebas o <code>false</code> si falló.
/// </summary>
/// <param name="httpContext">Contexto.</param>
/// <returns><code>bool</code> indicando si el usuario está autorizado a realizar la actividad.</returns>
protected override bool AuthorizeCore(HttpContextBase httpContext)
{
/* PRIMERA EVALUACIÓN:
* La petición es realizada por un usuario del sistema:
*/
if (!base.AuthorizeCore(httpContext))
{
return false;
}
Usuario = new CurrentUser();
...
/* CUARTA EVALUACIÓN:
* Permiso para una vista en específico.
*/
if (!string.IsNullOrWhiteSpace(Vista))
{
// Aquí hago la consulta a la base de datos, tu implementación cambiaría.
if (!Usuario.TieneAcceso(Vista)) return false;
}
...
return true;
}
/// <summary>
/// Controla la acción a tomar si la validación del usuario falla.
/// </summary>
/// <param name="filterContext">El contexto del filtro.</param>
protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
{
filterContext.Result = new HttpUnauthorizedResult();
}
}
}
La implementación de CurrentUser
en TieneAcceso
es:
public bool TieneAcceso(string Vista) => TieneAcceso(Vista, "ver");
public bool TieneAcceso(string Vista, string Acción)
{
return this.Vistas is List<string[]> && this.Vistas.Find(v => v[0].ToString().Equals(Vista.ToLower()) && v[1].ToString().Equals(Acción.ToLower())) is string[];
}