Wzór wykonywania autoryzacji w warstwie repozytorium aplikacji MVC

Question

Mam aplikację MVC uwierzytelnianą w systemie Windows z warstwą repozytorium. Cała interakcja kontrolera z bazą danych odbywa się za pośrednictwem repozytorium. Każdy kontroler ma odniesienie do repozytorium:

public class PostController : Controller 
{ 
    private Repository db = new Repository(); 

    [HttpPost] 
    public ActionResult DeletePost(int id) 
    { 
     // Authorize that the user is allowed to delete this post... 

     db.DeletePost(id); 
    } 
} 

Moje pytanie brzmi, czy jest to dobry sposób, aby przenieść moją logikę autoryzacji w repozytorium warstwy. Chciałbym, aby funkcja Repository.DeletePost() odmawiała usuwania wpisów, które nie zostały utworzone przez uwierzytelnionego użytkownika. Problem polega na tym, że moje repozytorium nie wie, kto jest uwierzytelnionym użytkownikiem. Sterownik wie (przez Controller.User).

Mijając Controller.User do konstruktora Repository nie działa, ponieważ Controller.User najwyraźniej nie zdefiniowane w momencie, gdy konstruktor jest tzw.

W jaki sposób mogę poinformować użytkownika, którego uwierzytelnionym użytkownikiem jest? Czy najlepiej byłoby po prostu zbudować Repository w ramach każdej akcji? Czy jest to zły pomysł, aby obsłużyć go w warstwie repozytorium?

Answer 1

Dobre sugestie zarówno od @BigDaddy, jak i @ChrisPratt.

W końcu rozwiązałem to, tworząc kontroler podstawowy, podobny do this answer. Moja klasa kontrolera baza wygląda następująco:

public class BaseController : Controller 
{ 
    private ILog _log; 
    private Repository _db; 

    protected Repository Db 
    { 
     get 
     { 
      return _db ?? (_db = new Repository(User)); 
     } 
    } 

    protected ILog Log 
    { 
     get 
     { 
      return _log ?? (_log = LogManager.GetLogger(this.GetType())); 
     } 
    } 
} 

Wszystkie moje kontrolerów dziedziczą z tej klasy, i wbudowany dostęp do leniwy załadowane Repository który ma odniesienie do aktualnie uwierzytelnionego użytkownika.

Answer 2

Wystarczy zrobić coś takiego:

db.DeletePostForUser(id, User.Identity.UserId); 

potem w repozytorium:

public void DeletePostForUser(int id, int userId) 
{ 
    var post = context.Posts.SingleOrDefault(m => m.PostId == id && m.User.UserId == userId) 
    if (post != null) 
    { 
     context.Posts.Remove(post); 
     context.SaveChanges(); 
    } 
} 

Answer 3

Czy jest to zły pomysł, aby obsłużyć to w warstwie repozytorium?

Myślę, że kontroler jest lepszym miejscem do autoryzacji. Niech repozytorium będzie bramą do danych, a kontroler będzie strażnikiem do twojej aplikacji. Spodziewam się, że logika autoryzacji/uwierzytelniania będzie widoczna na wczesnym etapie cyklu życia.