пользователя в домене Entity

Question

У меня есть следующая структура в моей БД:

DomainEntities: 
+EntityID 
+Name 
+ParentID 
+... 

Users: 
+UserID 
+Username 
+... 

Roles: 
+RoleID 
+Name 

UserRolesAssociation: 
+RoleID 
+UserID 
+EntityID 

Так я хочу использовать MVC встроенных в атрибуте авторизации для фильтрации действий в моих контроллерах, которые сделаны разными члены.

Что я могу сказать, если пользователь1 делает действие удаления для объекта entity1 или любого объекта под ним, я могу видеть, имеет ли он правильную роль для этого и соответствующим образом фильтрует действие.

Какова была бы наилучшая практика для решения этой темы? Должен ли я создать свой собственный механизм разрешений, который предоставит мне ответы, которые мне нужны, или я могу использовать существующие возможности?

Answer 1

Какова была бы наилучшая практика для решения этой темы?

Пользовательский [Authorize] кажется хорошим местом для реализации этой логики.

public class MyAuthorizeAttribute : AuthorizeAttribute 
{ 
    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     var authorized = base.AuthorizeCore(httpContext); 
     if (!authorized) 
     { 
      // the use ris not authenticated or not authorized - no need to continue 
      return false; 
     } 

     string username = httpContext.User.Identity.Name; 
     // read the entity id that this user is attempting to manipulate 
     string entityId = (string)httpContext.Request.RequestContext.RouteData.Values["id"] ?? httpContext.Request["id"]; 

     return IsAllowed(username, entityId); 
    } 

    private bool IsAllowed(string username, string entityId) 
    { 
     // You know what to do here - hit the database and check whether 
     // the current user is the owner of the entity 
     throw new NotImplementedException(); 
    } 
} 

, а затем:

[HttpDelete] 
[MyAuthorize] 
public ActionResult Delete(int id) 
{ 
    ... 
}