0

ojalá me puedan dar una mano.

Antecedentes: Actualmente tengo una pagina de Login que habilita dependiendo del rol del usuario carga las diferentes opciones de menú. Todo muy bien, pero si alguien se sabe la dirección url de cada perfil ingresa sin corresponder al rol. Me explico:

Tengo la url /admin/index.html y las opciones 1,2,3
Tengo la url /admision/index.html y las opciones 4,5,6
Tengo la url /usuario/index.html y las opciones 7,8,9

si yo soy usuario y cambio la url a admin me carga las opciones de admin, lo cuál es una falla de seguridad, leyendo en blogs dicen que use claims y authorization. quedando el siguiente Código:

en el archivo startup.cs

public void ConfigureServices(IServiceCollection services)
    {
        services
            .AddAuthentication("Identity.Application")
            .AddCookie("Identity.Application", options =>
            {
                options.Cookie.Name = "TECNOPOLIS";
                options.Cookie.Path = "/";
                options.SlidingExpiration = true;
                options.LoginPath = new PathString("/Account/Login");
                options.LogoutPath = new PathString("/Account/Logout");
                options.ExpireTimeSpan = TimeSpan.FromMinutes(10);
            });
    services.AddAntiforgery(options =>
    {
        options.Cookie.Name = "TECNOPOLIS";
        options.Cookie.Path = "/";
    });
    services.AddControllersWithViews();

    services.Configure<CookiePolicyOptions>(options =>
    {
        options.MinimumSameSitePolicy = SameSiteMode.None;
    });
    
services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme).AddCookie();
}

En el controlador del Login

if (username == "admin" && password == "a")
        {
            identity = new ClaimsIdentity(new[]
            {
                new Claim(ClaimTypes.Name,username),
                new Claim(ClaimTypes.Role,"Admin")
            }, CookieAuthenticationDefaults.AuthenticationScheme);
            isAuthenticate = true;
        }
            var principal = new ClaimsPrincipal(identity);
            var login = HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, principal);
            return RedirectToAction("Index", "Estudiante");

y en la página que quiero controlar el ingreso:

[Authorize(Roles = "Admin")]

Pero al ejecutar el codigo me da este error: https://localhost:44300/Account/Login?ReturnUrl=%2FEstudiante%2FIndex

y no carga la página

Si le quito la linea:

[Authorize(Roles = "Admin")]

Funciona muy bien

3
  • ¿Y qué has aprendido sobre Claims y Authorization ? ¿Tienes clara la idea?
    – fredyfx
    Commented el 27 oct. 2022 a las 23:46
  • Debes mostrar el código completo del controller Account
    – Yussef
    Commented el 29 oct. 2022 a las 12:40
  • ya lo resolví amigo imagínate eso fue casi un mes. tuve que buscar y leer, aquí solo me ayudaron con más preguntas en lugar de respuestas. Saludos Commented el 18 nov. 2022 a las 18:57

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.