È possibile che l'autorizzazione basata su criteri sia più dinamica?

Question

Autorizzazione politica Net Core, tuttavia mi sembra molto statica. Perché nell'applicazione Enterprise, è spesso necessario ricorrere a nuovi ruoli che necessitano di nuove politiche (a mio avviso) o se si desidera implementare un nuovo tipo di politica specifica per determinati client. Ad esempio, se stiamo costruendo un CMS che sarà guidato da tali politiche, vorremmo che ogni cliente fosse in grado di definire i propri. Quindi, questo nuovo meccanismo di base delle politiche può essere più dinamico o l'idea è completamente diversa?

grazie :))

Answer 1

ho sempre raccomandano che le persone date un'occhiata @ il least privilege repo in quanto ha alcuni ottimi esempi di tutti i vari approcci si può prendere con il nuovo ASP.NET core Autenticazione e autorizzazione paradigmi .

Può questo nuovo meccanismo di base delle politiche essere più dinamico?

Sì, in effetti è più dinamico rispetto ai precedenti concetti basati sui ruoli. Ti consente di definire criteri che possono essere guidati dai dati. Here è un'altra grande risorsa per i dettagli relativi a questo. È possibile specificare che un punto di ingresso dell'API, ad esempio, sia protetto da un criterio (ad esempio) e che il criterio possa avere un gestore e che il gestore possa fare tutto ciò di cui ha bisogno, vale a dire; esaminare l'attuale User nel contesto, confrontare le rivendicazioni con i valori nel database, confrontare i ruoli, qualsiasi cosa veramente. Si consideri il following:

definire un punto di voce con il Policy

[Authorize(Policy = "DataDrivenExample")] 
public IActionResult GetFooBar() 
{ 
    // Omitted for brevity... 
} 

Aggiungere l'autorizzazione con le opzioni che aggiungono la politica.

public void ConfigureServices(IServiceCollection services) 
{ 
    services.AddMvc();  
    services.AddAuthorization(options => 
    { 
     options.AddPolicy("DataDrivenExample", 
          policy => 
          policy.Requirements.Add(new DataDrivenRequirement())); 
    });  
    services.AddSingleton<IAuthorizationHandler, DataDrivenHandler>(); 
} 

Quindi definire il gestore.

public class MinimumAgeHandler : AuthorizationHandler<DataDrivenRequirement> 
{ 
    protected override void Handle(AuthorizationContext context, 
            DataDrivenRequirement requirement) 
    { 
     // Do anything here, interact with DB, User, claims, Roles, etc. 
     // As long as you set either: 
     // context.Succeed(requirement); 
     // context.Fail(); 
    } 
} 

è l'idea di completamente diverso?

Si deve sentire molto simile ai concetti precedenti che siete abituati a con auth8 e AuthZ.

Answer 2

La risposta accettata è ancora piuttosto limitante. Non consente valori dinamici a livello di controller e di azione. L'unico posto in cui è possibile aggiungere un valore personalizzato è nel requisito quando viene aggiunta la politica. A volte è necessario un controllo più fine sulla procedura di autorizzazione. Uno scenario molto comune è la sicurezza basata sui permessi. Ogni controller e azione dovrebbe essere in grado di specificare le autorizzazioni richieste per accedervi. Vedere la mia risposta here per una soluzione più potente che consente di utilizzare attributi personalizzati per decorare i controller e le azioni con tutte le informazioni necessarie durante l'autorizzazione.