Najlepszy sposób na zapewnienie, że zalogowani użytkownicy widzą tylko ich dane

Question

To zabrzmi jak głupie pytanie, ale ja tylko zastanawiam się, czy gdzieś nigdzie mnie nie brakuje.

Scenariusz polega na tym, że mam aplikację internetową wykorzystującą Simple Memebership, w której użytkownicy mogą się zarejestrować, aby z niej skorzystać (np. Program fakturowania).

Powinny one jednak móc tylko wyświetlać/aktualizować/usuwać informacje, które same dodają do bazy danych/aplikacji internetowej.

Jaki jest najlepszy sposób, aby zapewnić użytkownikowi dostęp tylko do ich informacji?

Czy dodać pole Nazwa użytkownika na każdym stole, na przykład:

public class Invoice 
{ 
    public int InvoiceId { get; set; } 
    public int CustId { get; set; } 
    public string UserName { get; set; } 
} 

public class Item 
{ 
    public int ItemId { get; set; } 
    public int InvoiceId { get; set; } 
    public string UserName { get; set; } 
} 

... a potem w dowolnym kontrolerze, który uzyskuje dostęp do danych, wystarczy dodać czek na nazwie użytkownika w każdym zapytaniu, np:

var Inv = db.Invoices.Where(x => x.UserName = User.Identity.Name); 
var Itm = db.Items.Where(y => y.UserName = User.Identity.Name); 

to właśnie używam obecnie, ale zastanawiałem się, czy to jest najlepszych praktyk? Lub jeśli jest prostszy sposób teraz jesteśmy na MVC4?

Czy to najlepiej użyć nazwa_użytkownika lub userid z UserProfile stole, albo to ma znaczenie?

Aktualizacja dodać klarowność po komentarzach

Więc 10 użytkowników zarejestrowało - a wszystko stworzył własne faktury. Nie chcę, aby ktokolwiek widział faktury innych użytkowników.

Dzięki za radę.

Mark

Answer 1

Jeśli założyć db relacji poprawnie, powinieneś być w stanie odwołać np faktury użytkownika tak:

var invoices = dbContext.Users.first(u=>u.id == idParam).Invoices; 

Można sprawdzić czy faktura należy do użytkownika poprzez testowanie

if(dbContext.Invoices.Any(i=>i.invoiceID))//invoice exists? 
{ 
    //Invoice belongs to user? 
    bool invoiceBelongsToUser = dbContext.Users.first(u=>u.id == idParam) 
    .Invoices.Any(i=>i.invoiceID == invoiceIDParam); 
} 

Answer 2

Można dodać filtr AuthorizeAttribute do pliku global.asax chronić każdą metodę działania każdego kontrolera.

a kontroler bez konieczności uzyskania zezwolenia:

[AllowAnonymous] 
public ActionResult LogOn() 

securing-your-asp-net-mvc-3-application

Answer 3

Czego zrobiłby to:

1. uniknąć przechodzenia w jakiejkolwiek formie identyfikatora użytkownika/poświadczeń w poście/ciąg zapytania, przytrzymaj go w bezpiecznym miejscu, np. zaszyfrowane w pliku cookie, i zawsze używaj tego podczas budowania zapytań

2. Jeśli w trakcie edycji zostały przekazane identyfikatory ID do programu, upewnij się, że wartości nie zostały zmienione, jeśli wypiszesz identyfikator w ukrytym polu, upewnij się, że jest taki sam po powrocie, ponieważ zgasł (bezpośredni atak referencyjny nazywa się)

3. jeśli twoja aplikacja żąda edycji, takiej jak klient/edycja/4, zawsze upewnij się, że identyfikator 4 należy do tego użytkownika przed wyświetleniem go.

Niektóre dobry odczyt tutaj na 10 największych luk: https://www.owasp.org/index.php/Top_10_2010-Main