1

Estoy realizando una pequeña aplicación en ASP.NET MVC, esta debe tener un inicio de sesión y roles. A nivel de base de datos esto ya está definido. Encontré una solución que es usando la plantilla por defecto cuando creas el proyecto, pero esta está llena de cosas que concidero innecesarias, es un poco díficil de entender y aparte implementa sus propias tablas en la base de datos. Encontré una forma de hacerlo y es implementando una clase que hereda de "ActionFilterAttribute" y sobreescribe el método "OnActionExecuting".

public class VerificarSesion: ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        var oUser = (Usuario)HttpContext.Current.Session["User"];

        if (oUser == null)
        {
            if (filterContext.Controller is AccesoController == false)
            {
                filterContext.HttpContext.Response.Redirect("~/Acceso/LogIn");
            }
        }

        base.OnActionExecuting(filterContext);

    }
}

En el controlador para el login valido las credenciales ingresadas y creo la "sesión" de esta manera asignandole el objeto.

    [HttpPost]
    [ValidateAntiForgeryToken]
    public ActionResult LogIn(string email, string pass)
    {
        using (ContextoAppDB db = new ContextoAppDB())
        {
            var usuarioLog = from obj in db.Usuario
                             where obj.Email == email && obj.Pass == pass
                             select obj;

            if (usuarioLog != null)
            {
                Usuario usuario = usuarioLog.First();
                Session["User"] = usuario;
                return RedirectToAction("Index", "Home");
            }
        }
        return View();
    }

El problema radica en que para validar si el usuario está logeado y pertenece a un rol, debo acceder a la sesión en cada acción de controlador que quiero validar de esta manera

    public ActionResult Crear()
    {
        Usuario currentUser = (Usuario)System.Web.HttpContext.Current.Session["User"];
        if (currentUser == null) return RedirectToAction("LogIn", "Acceso");

        if (currentUser.Role == (int)EnumRoles.root || currentUser.Role == (int)EnumRoles.admin)
            return View();

        else
            return RedirectToAction("NOAutorizado");
    }

y de esta manera si quiero hacer que algunas acciones de x controlador puedan ser accedidas de forma anónima no se puede. Y considero que es poco optimo estar accediento a la sesion de esta manera cada que necesite hacer una validación de permisos del rol.

**Alguien conoce una mejor manera de hacer esta validacion por roles? y/o algún tutorial que permita hacer esto sin usar la plantilla que provee Visual Studio por defecto? (la de cuentas de usuario individuales) **

Muchas gracias ^^

1 respuesta 1

1

Primero: la validación la vas a tener que hacer en cada petición, no es algo que puedas evitar si quieres tener un sistema robusto.

Segundo: Sí que hay una manera más sencilla de hacer la autenticación y a la vez permitir acceder a ciertos recursos de manera anónima: los AuthorizeAttribute (ver documentación). Lo que debes hacer es:

  1. Crear una clase de atributo:

    // Con el AttributeUsage definimos el alcance del atributo de autorización,
    // en este caso, se puede aplicar tanto a métodos (vistas) como a clases (controladores)
    [AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, AllowMultiple = false, Inherited = true)]
    internal class CustomAuthorizeAttribute : System.Web.Mvc.AuthorizeAttribute
    {
        // Aquí puedes definir los parámetros del atributo para otorgar permisos:
        public string Permiso1 { get; set; }
    
        // Aquí haces la validación del usuario
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        {
            // Verifica que el usuario haya iniciado sesión o que se permita acceso anónimo
            if (!base.AuthorizeCore(httpContext)) 
            {
                return false;
            }
    
            // Aplicas tu lógica de autorización, por ejemplo:
            Usuario currentUser = (Usuario)System.Web.HttpContext.Current.Session["User"];
            if (currentUser == null) return false;
    
            return (currentUser.Role == (int)EnumRoles.root || currentUser.Role == (int)EnumRoles.admin);
        }
    
        // Maneja la acción a tomar si no fue autorizado
        protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext)
        {
            // Devuelves un código 401 (no autorizado)
            filterContext.Result = new System.Web.Mvc.HttpUnauthorizedResult();
        }
    }
    
  2. Una vez construido tu atributo de autorización personalizado, lo aplicas en tus controladores:

    a. Decorando métodos específicos:

    public class HomeController : Controller
    {
        public ActionResult Index()
        {
             return View();
        }
    
        [CustomAuthorize(Permiso1 = "verEstaVista")] // <-- Permiso
        public ActionResult VistaConPermiso()
        {
            return View();
        }
    }
    

    b. Decorando al controlador completo y permitiendo el acceso anónimo a determinados ActionResult:

    [CustomAuthorize(Permiso1 = "verHome")] // <-- El permiso es a todo el controlador
    public class HomeController : Controller
    {
        [AllowAnonymous] // <-- permite acceso anónimo
        public ActionResult Index()
        {
             return View();
        }
    
        public ActionResult VistaConPermiso()
        {
            return View();
        }
    }
    

Por último: te recomiendo que leas este artículo: No hagas comprobación de autorización basada en roles (en inglés). Lo que dice es: no hagas autenticación por roles, sino por permisos.

¿A qué se refiere?

Tienes un rol "Admin" y para acceder a ciertas secciones solo puede hacerlo quien tenga ese rol. ¿Qué pasa si de pronto necesitas darle acceso a alguien a solo uno de los recursos del rol "Admin"? Tendrías que ir al código, crear un nuevo rol para ese usuario y modificar la "lista" de roles que pueden acceder a ese recurso. O sea, hay que compilar.

¿Qué es lo que el artículo sugiere?

En lugar de pedir roles (que van a seguir presentes), haz autorizaciones por un permiso en específico. ¿Qué papel juegan los roles? Cada rol tiene un set de permisos, pero guardándolos en una base de datos puedes crear nuevos roles y manipular qué permisos tiene qué rol, haciendo un control de permisos muy flexible y sin necesidad de compilar cada vez que haya un cambio. Así, en lugar de hacer algo así:

[CustomAuthorize(Rol = "admin, jefe, director")]
public ActionResult ReporteDeResultados() ...

lo haces simplemente así:

[CustomAuthorize(Permiso = "Ver reporte")]
public ActionResult ReporteDeResultados() ...

pudiendo asignarle (y quitarle) libremente el permiso "Ver reporte" a cada rol.

Edit:

Si no es con MVC, puedes usar este atributo:

/// <summary>
/// Verifica el permiso.
/// </summary>
[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, AllowMultiple = false, Inherited = true)]
internal class VerifyClientAttribute : System.Web.Http.AuthorizeAttribute
{
    public VerifyClientAttribute() { }

    /// <summary>
    /// Evaluación de cabeceras de peticiones web.
    /// </summary>
    /// <param name="httpContext">Contexto.</param>
    /// <returns><code>bool</code> indicando si el cliente es válido o no.</returns>
    protected override bool IsAuthorized(System.Web.Http.Controllers.HttpActionContext httpContext)
    {
        // Lógica de autorización
        return true;
    }

    /// <summary>
    /// Acción a tomar si el usuario no está autorizado.
    /// </summary>
    /// <param name="filterContext"></param>
    protected override void HandleUnauthorizedRequest(System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        actionContext.Response = new System.Net.Http.HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized);
    }
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.