Wie stelle ich die Laufzeitauthentifizierung in ASP.NET Core ein?

Ich erstelle eine Anwendung, indem es eine rollenbasierte Modulverwaltung gibt, die jederzeit geändert wird. Szenario:

• Wenn ein Benutzer Zugriff zum Erstellen und Anzeigen von Mitarbeitern hat, kann ein Benutzer nur Mitarbeiter erstellen und anzeigen, aber in Zukunft kann der Administrator die Benutzerrolle von Erstellen und Anzeigen zum Anzeigen und Löschen ändern, als ein Benutzer nur diese Aktivität ausführen kann.

Ich versuche es mit, [Authorize(Roles ="Staff")]aber wenn der Administrator die Laufzeit ändert, wird sie nicht verwaltet.

Kann jemand das untersuchen und sich bei mir melden?

Dies ist eine komplizierte Frage und es gibt keine richtige Antwort, aber es gibt verschiedene Möglichkeiten, dies zu tun. Zunächst gehe ich davon aus, dass Sie die zustandslose Authentifizierung mit einem auf Ansprüchen basierenden JWT verwenden. Der einfachste Weg besteht darin, eine eigene Richtlinie zu schreiben , die Benutzerrollen vor jeder Anforderung liest. Dies ist der einfachste Weg, dies zu tun und am schnellsten zu implementieren.

internal class DatabaseRoles : IAuthorizationRequirement
    {
        public string Role { get; }

        public DatabaseRoles(string role)
        {
            Role = role;
        }
    }

    internal class DatabaseRolesHandler : AuthorizationHandler<DatabaseRoles>
    {
        private readonly UserManager<IdentityUser> userManager;

        public DatabaseRolesHandler(UserManager<IdentityUser> userManager, RoleManager<IdentityRole> roleManager)
        {
            this.userManager = userManager;
        }

        protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, DatabaseRoles requirement)
        {
            //NOTE this is the out of the box implementation of roles and simple query to get the roles from the EF backed database. I would recoment makeing a custom privelages store for this and not using roles for this but access rights
            var user = await userManager.FindByIdAsync(userManager.GetUserId(context.User));
            if (await userManager.IsInRoleAsync(user, requirement.Role))
            {
                context.Succeed(requirement);
            }
        }

    }

Diese Lösung ist jedoch nicht so leistungsfähig, da bei jeder Anforderung ein Aufruf der Datenbank erforderlich ist. Dies ist bei kleinen Lasten in Ordnung, kann jedoch zu Verkehrsproblemen führen. Die andere Möglichkeit besteht darin, alle Benutzertoken erneut aufzurufen, wenn sich die Rollen ändern. Dies ist jedoch sehr kompliziert. Ich bin sicher, wenn Sie einen Schnellzugriffsspeicher für Rollen wie Redis erstellen, gibt es keine Probleme, die Überprüfung bei jedem Anruf durchzuführen. Außerdem empfehle ich nicht, einen eigenen Benutzerspeicher zu erstellen, da es ein Albtraum ist, die Sicherheitsstandards aufrechtzuerhalten und auf dem neuesten Stand zu halten.

Wenn Sie Sitzung / Cookie zum Speichern der angemeldeten Benutzerdetails verwenden, können Sie die Details leeren, wenn der Administrator Rollenänderungen vornimmt. Bei jeder Aktion können Sie die Rolle in Sitzung / Cookie überprüfen und fortfahren. Sobald der Benutzer auf eine beliebige Stelle auf dem Bildschirm klickt, die auf den Controller trifft. Die Bedingung wird überprüft und der Benutzer wird abgemeldet, da das Sitzungs- / Cookie-Objekt leer ist.