Где подтвердить авторизацию для команды?

Question

Название вопроса возобновляется в значительной степени: где я могу подтвердить авторизацию для команды?

Например, установка клиента как предпочтительный включает:

• MarkAsPreferred действие контроллера (может быть Winforms или любой другой);
• SetCustomerAsPreferredCommand;
• SetCustomerAsPreferredCommandHandler;
• Customer.MarkAsPreferred() (область);

я определил 3 места для проверки авторизации:

• UI для отображения цели (пользователь не должен видеть ссылку/кнопку, если он/она не имеет доступа к нему);
• Контрольное действие для проверки того, что пользователь имеет право называть эту команду; команды считаются всегда успешными (в отношении проверки, но я также принимаю авторизацию), и мы имеем возможность сообщить пользователю об отсутствии доступа;
• внутри команды непосредственно перед вызовом логики домена;

SomeView.cshtml

if (authorizationService.Authorize("MarkCustomerAsPreferred)) 
{ 
    // show link 
} 

CustomerController

[HttpPost] 
public ActionResult MarkAsPreferred(Guid id) 
{ 
    if (!authorizationService.Authorize("MarkCustomerAsPreferred)) 
    { 
     return RedirectToAction("Unauthorized"); 
    } 

    var MarkCustomerAsPreferredCommand { Id = id }; 
    ... 
} 

MarkCustomerAsPreferredCommandHandler

public void Handle(MarkCustomerAsPreferredCommand command) 
{ 
    if (!authorizationService.Authorize("MarkCustomerAsPreferred")) 
    { 
     throw new Exception("..."); 
    } 

    customer.MarkAsPreferred(); 
} 

Мой вопрос: Do I нужен, чтобы подтвердить авторизацию в 3-х местах, или я просто переусердствую?

Я искал по всему Интернету, но не нашел ни одного примера или справки об этом.

Редактировать

После дополнительных исследований и некоторые тесты, я думаю, оберточной команду, чтобы добавить поведение (авторизация, проверка, протоколирование), как Деннис Тауба предложили проще и чище реализовать.

Я нашел this blog post, который объясняет именно эту концепцию.

О наличии нескольких обработчиков для одной команды, мне не нужно реализовывать один обработчик команд для каждого поведения для каждой исходной команды, одна команда обертки может обернуть все обработчики.

Answer 1

Я думаю, что окончательная авторизация должна выполняться на уровне обслуживания приложений, то есть в части обработки команды. Например, можно обработать обработчик обработчиком авторизации.

class AuthorizationHandler : IHandle<SetCustomerAsPreferred> { 

    IHandle<SetCustomerAsPreferred> innerHandler; 

    public AuthorizationHandler(IHandle<SetCustomerAsPreferred> handler) 
    { 
     innerHandler = handler; 
    } 

    public void Handle(SetCustomerAsPreferred command) 
    { 
     if (/* not authorized */) 
      throw ... 
     innerHandler.Handle(command); 
    } 

} 

class SetCustomerAsPreferredCommandHandler : IHandle<SetCustomerAsPreferred> { 

    public void Handle(SetCustomerAsPreferred command) 
    { 
     // do the work 
    } 

} 

Answer 2

Это хороший пользовательский интерфейс, который имеет эту проверку в представлении, поэтому пользователь не будет щелкать по ошибке. Я считаю проверку контроллера «реальной», потому что там создается команда.Если у пользователя нет прав, она не должна создавать (или даже достигать этого действия) команду.

Я думаю, что положить чек в обработчик немного завораживает, так как это не его обязанность делать авторизацию и не похожа на то, что пользователь может напрямую связаться с пользователем.