ojalá me puedan dar una mano.
Antecedentes: Actualmente tengo una pagina de Login que habilita dependiendo del rol del usuario carga las diferentes opciones de menú. Todo muy bien, pero si alguien se sabe la dirección url de cada perfil ingresa sin corresponder al rol. Me explico:
Tengo la url /admin/index.html y las opciones 1,2,3
Tengo la url /admision/index.html y las opciones 4,5,6
Tengo la url /usuario/index.html y las opciones 7,8,9
si yo soy usuario y cambio la url a admin me carga las opciones de admin, lo cuál es una falla de seguridad, leyendo en blogs dicen que use claims y authorization. quedando el siguiente Código:
en el archivo startup.cs
public void ConfigureServices(IServiceCollection services)
{
services
.AddAuthentication("Identity.Application")
.AddCookie("Identity.Application", options =>
{
options.Cookie.Name = "TECNOPOLIS";
options.Cookie.Path = "/";
options.SlidingExpiration = true;
options.LoginPath = new PathString("/Account/Login");
options.LogoutPath = new PathString("/Account/Logout");
options.ExpireTimeSpan = TimeSpan.FromMinutes(10);
});
services.AddAntiforgery(options =>
{
options.Cookie.Name = "TECNOPOLIS";
options.Cookie.Path = "/";
});
services.AddControllersWithViews();
services.Configure<CookiePolicyOptions>(options =>
{
options.MinimumSameSitePolicy = SameSiteMode.None;
});
services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme).AddCookie();
}
En el controlador del Login
if (username == "admin" && password == "a")
{
identity = new ClaimsIdentity(new[]
{
new Claim(ClaimTypes.Name,username),
new Claim(ClaimTypes.Role,"Admin")
}, CookieAuthenticationDefaults.AuthenticationScheme);
isAuthenticate = true;
}
var principal = new ClaimsPrincipal(identity);
var login = HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, principal);
return RedirectToAction("Index", "Estudiante");
y en la página que quiero controlar el ingreso:
[Authorize(Roles = "Admin")]
Pero al ejecutar el codigo me da este error: https://localhost:44300/Account/Login?ReturnUrl=%2FEstudiante%2FIndex
y no carga la página
Si le quito la linea:
[Authorize(Roles = "Admin")]
Funciona muy bien
Claims
yAuthorization
? ¿Tienes clara la idea?