Uwierzytelnianie MVC5: atrybut autoryzacji dla każdego kontrolera lub kontrolera podstawowego

Question

Prowadzę wiele badań na temat najlepszego sposobu zabezpieczenia mojej aplikacji MVC 5.

Mamy jeden Web.csproj z wieloma kontrolerami WebAPI, a także witryną MVC z dwoma obszarami - jeden dla administratora, a następnie dla strony publicznej.

Po przeczytaniu this article which states that the Base Controller is best way postanowiłem zastosować to podejście.

Jednak osobiście nie jestem w porządku z użyciem kontrolerów bazowych (see this stackoverflow answer dla niektórych z moich argumentów).

Więc, biorąc pod uwagę, że używam MVC 5 (Identyfikacja ASP.Net i OWIN Authentication) - czy ktoś może rzucić nieco światła na plusy i minusy każdego podejścia?

Answer 1

Obecna praktyka w MVC 5 jest zastosowanie AuthorizeAttribute jako globalny filtr i otworzyć poszczególnych działań/controllers z AllowAnonymousAttribute

Więc App_Start \ FilterConfig.cs dodać następujące wiersze:

public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
    { 
     ... existing filters 

     // use the [AllowAnonymous] attribute to open up individual Actions/Controllers 
     filters.Add(new System.Web.Mvc.AuthorizeAttribute()); 
     filters.Add(new RequireHttpsAttribute()); 
    } 

uwaga: na dokładkę mam również włączających RequireHttpsAttribute jak każdy uwierzytelniony wniosek z ASP.NET Identity niesie cookie uwierzytelniania, który jest podatny na Man In the Middle atakuje, jeśli jest przenoszony przez zwykły HTTP.

Answer 2

ja zawsze używać kontrolera zasady, na więcej powodów niż tylko uwierzytelniania i autoryzacji ...

Aby dostać się do pytania, co skończyło się robi toczył własną niestandardową Autoryzacja atrybutów złożonych reguł, które wszystko dziedzicz z AuthorizeAttribute. Jest to dość proste, wszystko co robisz, dziedziczy po danym atrybucie, a następnie nadpisuje metody OnAuthorization i AuthorizeCore.

Ogólnie, wszystkie nasze kontrolery nie pozwalają na dostęp anon, w oparciu o naszą klasę baseController. Stamtąd staje się tak skomplikowane, jak potrzeba. Ale zawsze warto używać klasy bazowej do takich rzeczy i na tej podstawie budować. Jeśli kiedykolwiek będziesz musiał szybko zmienić bardzo szeroki system, stuknij go w baseClass i to wszystko.