2

Estoy implementando el uso de permisos de usuario con el Authorize, he implementado correctamente su funcionamiento, pero quisiera saber cómo hago que cuando el usuario no esté autorizado a acceder a esa vista en el controlador Authorize no me redirija al login si no a una ventana de advertencia que no tiene los permisos:

public class UnidadesController : Controller
{
    SidcarEntities1 db = new SidcarEntities1();
    // GET: Unidades
    [Authorize(Users = "Usuario1, Usuario2")]
    public ActionResult Arope()
    {
        List<Departamento> DepartamentoList = db.Departamentos.ToList();
        ViewBag.DepartamentoList = new SelectList(DepartamentoList, "IdDepartamento", "Departamento1");
        return View();
    }
}
3
  • Pero te refieres en el caso de que esté logueado PERO no tenga permisos para acceder ¿no?
    – S. Bonet
    el 30 may. 2018 a las 14:24
  • Si exacto ya el usuario esta logueado y tiene permisos a ciertas vistas pero si intenta acceder a cierta vista pues en vez de dirigirlo al login salga una ventana tipo mensaje que no esta autorizado el 30 may. 2018 a las 14:27
  • Como haces la llamada a la accion?
    – gbianchi
    el 30 may. 2018 a las 14:30

2 respuestas 2

1

Opción buena, buena no hay hasta donde yo se. El atributo Authorize devuelve un código 401 independientemente de que el usuario esté o no logueado. Soluciones que he usado otras veces: Opción 1- Crear tu propio atributo que herede de Authorize, en el que compruebes si está o no logueado y devuelvas Forbidden o Unauthorized según sea el caso :

    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
public class AuthorizeAttribute : System.Web.Mvc.AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.Request.IsAuthenticated)
        {
            filterContext.Result = new System.Web.Mvc.HttpStatusCodeResult((int)System.Net.HttpStatusCode.Forbidden);
        }
        else
        {
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

Opción 2- (Más fea aun), en el Login añades una condición para checkear si el usuario esta autenticado o no. Si está autenticado y lo han redirigido al Login, entonces das por sentado que es que no está autorizado para hacer lo que pretendía a hacer y lo rediriges a una vista propia que te hagas con el mensaje de "No tienes permisos blablablbla"

0

Existen dos maneras, la primera y la más viable es

  1. Validar la sesión a través de un FilterAttribute
  2. Únicamente hacer uso de la anotación [Authorize]

1. Usando un FilterAttribute

Puedes implementar un FilterAttribute donde podrás validar si el usuario está autenticado. Primero debes crear una clase ValidateAuthenticationFilterAttribute que herede de ActionFilterAttribute, y si el usuario no se ha autenticado se deberá hacer una redirección a la página de permiso denegado (suponiendo que tu Controller se llama Permisos y el Action es Denegado):

public class ValidateAuthenticationFilterAttribute : ActionFilterAttribute
{

    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        if (/*Aquí validas si el usuario tiene los permisos*/)
        {
            filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary(new { controller = "Permisos", action = "Denegado" }));
        }
        base.OnActionExecuting(filterContext);
    }
}

Finalmente, en el Controler sol deberás poner la anotación [ValidateAuthenticationFilter]:

[ValidateAuthenticationFilter]
public class UnidadesController : Controller
{
    //TO DO
}

2. Usando la anotación [Authorize]

Si el usuario no esta logueado en el sistema y se hace uso de esta anotación, la aplicación hará una redirección al Controller y el Action declarados por default en el archivo App_Start\RouteConfig.cs:

public static void RegisterRoutes(RouteCollection routes)
{
    routes.IgnoreRoute("{resource}.axd/{*pathInfo}");

    routes.MapRoute(
        name: "Default",
        url: "{controller}/{action}/{id}",
        defaults: new { controller = "Login", action = "Index", id = UrlParameter.Optional }
    );
}

Tu código quedaría de la siguiente manera:

[Authorize]
public class UnidadesController : Controller
{
    //TO DO
}
7
  • usted es un grande :D
    – fredyfx
    el 30 may. 2018 a las 16:55
  • @fredyfx son sus enseanzas maestro :D
    – Phi
    el 30 may. 2018 a las 16:59
  • gracias por el halago hermano, seguimos siendo aprendices :)
    – fredyfx
    el 30 may. 2018 a las 17:05
  • Pero eso no resuelve su problema. Él habla de un usuario actualmente autentificado pero que a pesar de ello carece de autorización para acceder a la vista. Por eso no le sirve el atributo Authorized, porque aunque estés autentificado, sino tienes los permisos adecuados, lo que hace el atributo es redirigir al login.
    – S. Bonet
    el 30 may. 2018 a las 17:10
  • @S.Bonet sí y no, he actualizado mi respuesta para que quedara un poco más claro
    – Phi
    el 30 may. 2018 a las 17:14

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.