Xác thực MVC5: Ủy quyền thuộc tính trên mọi bộ điều khiển hoặc bộ điều khiển cơ sở

Question

Tôi đã thực hiện rất nhiều nghiên cứu về cách tốt nhất để bảo đảm ứng dụng MVC 5 của mình.

Chúng tôi có một Web.csproj với nhiều bộ điều khiển WebAPI và cũng là trang web MVC có hai khu vực - một dành cho Quản trị viên và sau đó là trang web công khai.

Sau khi đọc this article which states that the Base Controller is best way, tôi quyết định đi theo cách tiếp cận đó.

Tuy nhiên, cá nhân tôi không đồng ý với việc sử dụng bộ điều khiển cơ sở (see this stackoverflow answer vì một số lý do của tôi).

Vì vậy, với điều kiện tôi đang sử dụng MVC 5 (Nhận dạng ASP.Net và Xác thực OWIN) - bất kỳ ai cũng có thể làm sáng tỏ những ưu điểm và nhược điểm của mỗi cách tiếp cận?

Answer 1

Thực tiễn hiện nay ở MVC 5 là để áp dụng các AuthorizeAttribute như một bộ lọc toàn cầu, và mở ra Actions cá nhân/Bộ xử lý với AllowAnonymousAttribute

Vì vậy, trong App_Start \ FilterConfig.cs thêm những dòng sau đây:

public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
    { 
     ... existing filters 

     // use the [AllowAnonymous] attribute to open up individual Actions/Controllers 
     filters.Add(new System.Web.Mvc.AuthorizeAttribute()); 
     filters.Add(new RequireHttpsAttribute()); 
    } 

lưu ý: cho biện pháp tốt tôi cũng đã thêm RequireHttpsAttribute như mọi yêu cầu chứng thực với ASP.Net nhận dạng mang cookie auth, đó là dễ bị tổn thương để Man In The Middle tấn công nếu được thực hiện qua HTTP thông thường.

Answer 2

tôi sẽ luôn luôn sử dụng một bộ điều khiển cơ sở, vì những lý do nhiều hơn chỉ là xác thực và ủy quyền ...

Để có được câu hỏi của bạn, những gì chúng ta đã kết thúc làm được cán Authorization tùy chỉnh riêng của chúng tôi Các thuộc tính với các quy tắc phức tạp mà tất cả kế thừa từ AuthorizeAttribute. Nó khá đơn giản, tất cả những gì bạn làm là kế thừa từ thuộc tính đã cho và sau đó ghi đè lên các phương thức OnAuthorization và AuthorizeCore.

Nói chung, tất cả các bộ điều khiển của chúng tôi không cho phép truy cập anon, dựa trên lớp baseController của chúng tôi. Từ đó nó trở nên phức tạp khi cần thiết. Nhưng nó luôn luôn có ý nghĩa để sử dụng một lớp cơ sở cho những thứ như thế này và xây dựng trên đó. Nếu bạn cần thay đổi hệ thống một cách nhanh chóng, hãy nhấn vào nó trong baseClass và đó là nó.