Najważniejsze wskazówki dotyczące tworzenia niestandardowych typów roszczeń

Question

Podając określony zestaw uprawnień, np. EditPage, CreateProject, ModifyUser, obecnie przyglądam się dwóm różnym sposobom tworzenia niestandardowych typów oświadczeń w celu modelowania tego zachowania. Mogę znaleźć w Internecie niewiele informacji na temat najlepszego sposobu na zrobienie tego, mając nadzieję na opinie na temat tego, jak to zrobiłeś we własnych systemach.

Pierwsze podejście mam uważany jest użycie „działanie” typu roszczenia, z konkretnym działaniem określonej przez wartość roszczenia:

var claims = new [] 
{ 
    new Claim("http://schemas.company.com/claims/project/action", "EditPage"), 
    new Claim("http://schemas.company.com/claims/project/action", "CreateProject"), 
    new Claim("http://schemas.company.com/claims/project/action", "ModifyUser") 
} 

Drugim sposobem jest użycie samego rodzaju roszczenia aby zdefiniować wykonywaną akcję, wartość nie jest używana. Jest to jak styl bezpieczeństwa "PossessProperty", w którym tak długo, jak użytkownik ma typ roszczenia, może wykonać akcję.

var claims = new [] 
{ 
    new Claim("http://schemas.company.com/claims/project/editpage", ""), 
    new Claim("http://schemas.company.com/claims/project/createproject", ""), 
    new Claim("http://schemas.company.com/claims/project/modifyuser", "") 
} 

Należy również pamiętać, w rodzaju roszczenia powyżej podaję „projekt” dyskryminator tak, że można rozróżnić użytkownika, który można edytować stronę w projekcie A, ale nie projektu B.

Mamy "Planuje również przechowywanie wszystkich tych niestandardowych roszczeń w centralnej bazie danych" Autoryzacja ", więc wymagana jest wyjątkowość.

Wszelkie przemyślenia lub uwagi będą mile widziane.

Answer 1

Cóż - nie podałeś więcej szczegółów na temat swojego zamiaru - ale jeśli masz zamiar uczynić te roszczenia częścią tożsamości użytkownika - jest to wyraźnie anty-wzór.

Żądania opisują tożsamość użytkownika (która może zawierać gruboziarniste dane autoryzacyjne, takie jak role). Aby uzyskać dokładniejsze decyzje dotyczące autoryzacji, użyj czegoś takiego jak ClaimsAuthorizationManager w .NET.

W tym momencie rozciągliwości dokonaniu świadomej decyzji w oparciu o

a) tożsamość użytkownik b) zasobu użytkownik próbuje uzyskać dostęp do c) operacja użytkownik próbuje zrobić na zasób

Innymi słowy - roszczenia są podstawą decyzji o autoryzacji, a nie bezpośrednią odpowiedzią.