Làm cách nào để thiết lập xác thực thời gian chạy trong ASP.NET Core?

Tôi đang tạo một ứng dụng trong đó có quản lý mô-đun dựa trên vai trò và nó được thay đổi bất cứ lúc nào. Kịch bản:

• Nếu người dùng có quyền truy cập để tạo và xem Nhân viên thì người dùng chỉ có thể tạo và xem nhân viên nhưng trong tương lai quản trị viên thay đổi vai trò của người dùng từ việc tạo và xem để xem và xóa hơn người dùng chỉ có thể thực hiện hoạt động đó.

Tôi đã thử [Authorize(Roles ="Staff")]nhưng nếu quản trị viên thay đổi thời gian chạy thì nó không được quản lý.

Bất cứ ai có thể nhìn vào điều này và lấy lại cho tôi?

Đây là một câu hỏi phức tạp và không có câu trả lời đúng nhưng có một số cách để làm điều đó. Trước tiên tôi sẽ cho rằng bạn đang sử dụng auth auth bằng cách sử dụng jwt dựa trên yêu cầu, cách đơn giản nhất là viết Chính sách của riêng bạn để đọc vai trò của người dùng trước mỗi yêu cầu, đây là cách đơn giản nhất để thực hiện và nhanh nhất để thực hiện.

internal class DatabaseRoles : IAuthorizationRequirement
    {
        public string Role { get; }

        public DatabaseRoles(string role)
        {
            Role = role;
        }
    }

    internal class DatabaseRolesHandler : AuthorizationHandler<DatabaseRoles>
    {
        private readonly UserManager<IdentityUser> userManager;

        public DatabaseRolesHandler(UserManager<IdentityUser> userManager, RoleManager<IdentityRole> roleManager)
        {
            this.userManager = userManager;
        }

        protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, DatabaseRoles requirement)
        {
            //NOTE this is the out of the box implementation of roles and simple query to get the roles from the EF backed database. I would recoment makeing a custom privelages store for this and not using roles for this but access rights
            var user = await userManager.FindByIdAsync(userManager.GetUserId(context.User));
            if (await userManager.IsInRoleAsync(user, requirement.Role))
            {
                context.Succeed(requirement);
            }
        }

    }

Nhưng giải pháp này không phải là hiệu suất vì nó yêu cầu một cuộc gọi đến cơ sở dữ liệu theo mọi yêu cầu. Điều này tốt trên tải nhỏ nhưng có thể tạo ra vấn đề trong giao thông. Một cách khác là gọi lại tất cả các mã thông báo người dùng khi vai trò thay đổi nhưng điều này siêu phức tạp. Tôi chắc chắn nếu bạn tạo một số cửa hàng truy cập nhanh cho các vai trò như redis, sẽ không có vấn đề gì để thực hiện kiểm tra trên mỗi cuộc gọi. Ngoài ra, tôi không khuyên bạn nên tạo bộ nhớ người dùng của riêng mình vì đó là một cơn ác mộng để duy trì và cập nhật liên quan đến các tiêu chuẩn bảo mật.

Nếu bạn đang sử dụng Phiên / Cookie để lưu trữ thông tin người dùng đã đăng nhập, bạn có thể làm trống các chi tiết bất cứ khi nào Quản trị viên thực hiện thay đổi vai trò. Trên mọi hành động, bạn có thể kiểm tra vai trò trong Phiên / Cookie và tiến về phía trước. Bây giờ ngay khi người dùng nhấp vào bất cứ nơi nào trên màn hình chạm vào bộ điều khiển. Điều kiện sẽ được kiểm tra và Người dùng sẽ được đăng xuất vì đối tượng Phiên / Cookie trống.