Come esporre la sicurezza e la gestione utenti integrate a un'applicazione MVC?

Question

Ho creato un sito Web MVC su IIS6. Ho usato la sicurezza ASP.NET integrata senza abbonamento, proprio come è stata implementata nella soluzione di template. È facile proteggere un controller o un'azione, ma ora ho bisogno di esporre la gestione degli utenti a un amministratore registrato nel sito. Capisco che i controlli ASP incorporati per fare questo non sono "best practice" e sono un cane per lavorare. Quindi, qual è la migliore pratica per offrire la gestione degli utenti tramite un'applicazione ASP.NET MVC?

Ho pensato di utilizzare Entity Framework e collegarlo alla miriade di stored procs. ma sembra imbarazzante. Vedo le opzioni per AccountMembershipService e FormsAuthenticationService. Questo è ciò che utilizza il controller di account di progetto esistente. Ma, non sono fimilliar con entrambi.

Non posso fare a meno di pensare che questo dovrebbe essere già presente dal modello di progetto. Questa è una parte fondamentale di qualsiasi sito web e ti è stato dato il 15%, perché non il resto?

Answer 1

Ho un'autenticazione utente che lavora in un modo un po 'sano di mente ora. L'ostacolo più grande da superare è che è corretto utilizzare le classi di appartenenza, anche se non sto utilizzando l'aspetto Profilo dell'appartenenza. È facile ottenere il nome utente e fare Membership.GetUser (UserName). Quindi puoi fare molte cose come Sblocca, Approva/Disapprova, cambia la password e cambia la password domanda/risposta ... tutte le basi di cui ho bisogno.

Qui ci sono le basi:

'get current logged in user 
Dim currentUser As MembershipUser = Membership.GetUser() 

'get current logged in user name 
Dim userName = currentUser.UserName 

'get current user email 
Dim userEmail = currentUser.Email 

'get a user to edit 
Dim editingUser = Membership.GetUser(UserName) 

'set the user email 
editingUser.Email = newEmail 
Membership.UpdateUser(editingUser) 

‘unlock user 
editingUser.UnlockUser() 

‘disapprove user 
editingUser.IsApproved = False 
Membership.UpdateUser(editingUser) 

‘approve user 
editingUser.IsApproved = True 
Membership.UpdateUser(editingUser) 

‘change pw 
editingUser.ChangePassword(oldPw, newPw) 

e questo è in gran parte tutto quello che c'è troppo esso

Answer 2

Per quanto ne so, si sta utilizzando SqlMembershipProvider come implementazione del provider di appartenenza. Vorrei suggerire di avere uno sguardo ad alcuni dei metodi di MembershipUser e MembershipProvider classi (come ad esempio CreateUser, ecc) per ottenere ciò che si sta cercando di fare, invece di lavorare con le tabelle del database sottostanti utilizzate per l'implemento.

È anche possibile dare un'occhiata a this article per un'introzione approfondita a Provider di Membership, Roles e Profilo di ASP.NET.

Answer 3

Dai un'occhiata a questo progetto CodePlex: ASP.Net MVC Membership Starter Kit

Answer 4

Non so di "best practice", ma questo è come vorrei farlo (e come è sorta di scritto in "Professional ASP.NET MVC 1.0"):

È necessario disporre di un profilo (o predefinito) ProfileProvider e MembershipProvider in posizione perché funzioni.

Creare un controller che gestisca tutte le azioni di gestione dei membri es. MemberAdminController

Questo controller deve avere l'attributo Autorizza [Ruoli = "Amministratore"] specificato, quindi tutte le azioni in questo controller verranno gestite solo se l'utente è nel ruolo Amministratore.

Ora è possibile creare viste e azioni CRUD come si desidera utilizzare solo questo controller.

Answer 5

In MvcCms abbiamo usato la RoleProvider fuori dalla scatola, ma ha convertito il provider di appartenenza verso entità.

http://mvccms.codeplex.com/SourceControl/changeset/view/56727#994414