0

¿Como manejar dinámicamente la autorización de acciones en los controladores de acuerdo a un rol de usuario?

Por ejemplo el problema es: un usuario con rol ADMINISTRADOR tiene permisos sobre dos acciones de un controlador. Entonces yo escribo [Authorize(Roles = "Administrador")] sobre esas dos acciones, pero resulta que por algún cambio, se debe quitar esa autorización en una acción y ponerlo en otra u otras. Entonces debo hacer un cambio en el código fuente y volver a compilar.

La pregunta es ¿cual alternativa o metodología de autorización puedo utilizar si deseo agregar o quitar permisos (sobre determinadas acciones) a un rol especifico? Sin tener que hacer cambios en el código fuente y realizar nuevamente una compilación.

2
  • 1
    Mira Cómo preguntar para que tu pregunta sea mejor recibida. Tambien, aprovecha y haz el recorrido de bienvenida para entender mejor como funcionamos y de paso obtener tu primera medalla!
    – gbianchi
    Commented el 8 nov. 2017 a las 16:07
  • 3
    Debes limitar tu pregunta a un problema especifico. Aca no tenes un problema si no que estas pidiendo recomendaciones y el sitio no funciona asi. mira por favor los enlaces que te pase en el comentario de arriba.
    – gbianchi
    Commented el 8 nov. 2017 a las 16:08

2 respuestas 2

1

Vas a tener que escribir tu propio atributo Authorize y dentro puedes implementar la logica que necesitas.

Tristemente tendras que modificar el codigo de tus controladores y modificar el atributo Authorize por MyAuthorize (o el nombre que desees), pero despues de ese cambio podras modificar tu logica de autorizacion en esta clase y ver el efecto en tu projecto sin realizar mas cambios.

Este es un ejemplo de un MyAuthorizeAttributte:

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace CustomProject
{
    public class MyAuthorizeAttribute : AuthorizeAttribute
    {
        protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        {
            System.Web.Routing.RouteValueDictionary rd;
            if (filterContext.HttpContext.User.Identity.IsAuthenticated)
            {
                rd = new System.Web.Routing.RouteValueDictionary(new { action = "NotAuthorized", controller = "Error" });
            }
            else
            {
                //user is not authenticated
                rd = new System.Web.Routing.RouteValueDictionary(new { action = "Login", controller = "Account" });
            }
            filterContext.Result = new RedirectToRouteResult(rd);
        }
    }
}
0
0

Hace un tiempo me encontré con este artículo (en inglés) que habla sobre por qué es mala idea hacer autorizaciones basadas en roles. Básicamente lo que dice es:

No hagas autorizaciones basadas en roles, has autorizaciones basadas en la actividad.

Si los roles tienen permitido hacer cierta actividad, puedes cambiar de esto:

[Authorize(Roles = "Admin")]
public ActionResult AdminPanel()
{
    return View();
}

a algo así:

[AuthorizeActivity(Vista = "AdminPanel")]
public ActionResult AdminPanel()
{
    return View();
}

Así, puedes tener las configuraciones de los perfiles en la base de datos y cambiar quién tiene permiso sobre qué sin necesidad de recompilar.

Una implementación que yo hice sobre esto fue así:

namespace MiSitio
{
    /// <summary>
    /// Verifica el nivel de autorización del usuario. Permite el acceso si el nivel de autorización del usuario tiene el permiso.
    /// </summary>
    [AttributeUsage(AttributeTargets.Method, AllowMultiple = false, Inherited = true)]
    internal class AuthorizeActivityAttribute : AuthorizeAttribute
    {
        // Un modelo que hace las consultas a la base de datos sobre el usuario actual.
        private CurrentUser Usuario { get; set; }

        /// <summary>
        /// Nombre de la acción que se debe verificar.
        /// </summary>
        [DebuggerHidden]
        public string Vista { get; set; }

        ...

        /// <summary>
        /// Evaluación de permisos. Confirma permisos en cascada, devolviendo <code>true</code> si el usuario ha pasado todas las
        /// pruebas o <code>false</code> si falló.
        /// </summary>
        /// <param name="httpContext">Contexto.</param>
        /// <returns><code>bool</code> indicando si el usuario está autorizado a realizar la actividad.</returns>
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        {
            /* PRIMERA EVALUACIÓN:
             * La petición es realizada por un usuario del sistema:
             */
            if (!base.AuthorizeCore(httpContext))
            {
                return false;
            }
            Usuario = new CurrentUser();

            ...

            /* CUARTA EVALUACIÓN:
             * Permiso para una vista en específico.
             */
            if (!string.IsNullOrWhiteSpace(Vista))
            {
                // Aquí hago la consulta a la base de datos, tu implementación cambiaría.
                if (!Usuario.TieneAcceso(Vista)) return false;
            }

            ...

            return true;
        }

        /// <summary>
        /// Controla la acción a tomar si la validación del usuario falla.
        /// </summary>
        /// <param name="filterContext">El contexto del filtro.</param>
        protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        {
            filterContext.Result = new HttpUnauthorizedResult();
        }
    }
}

La implementación de CurrentUser en TieneAcceso es:

public bool TieneAcceso(string Vista) => TieneAcceso(Vista, "ver");

public bool TieneAcceso(string Vista, string Acción)
{
    return this.Vistas is List<string[]> && this.Vistas.Find(v => v[0].ToString().Equals(Vista.ToLower()) && v[1].ToString().Equals(Acción.ToLower())) is string[];
}

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.