c# - ASP .Net MVC 用户所有权和授权

Question

我是 MVC 新手，正在尝试构建一个简单的 Web 应用程序，用户可以在其中注册和登录(已经完成了 MVC 的身份示例)并创建了一些对象(例如，执行列表中的项目) 基本上与它们绑定(bind)，除非它们另有说明。

基本上，如果没有另外说明，其他用户不能看到或编辑待办事项。

我要完成的第一步是只用我用户的项目填充列表。

有人能给我指出正确的方向吗？

Answer 1

在我看来，它更多的是一个应用程序逻辑，而不是授权。实现它的最简单方法是在您想要显示或编辑这些项目时查询由当前登录用户创建的项目。

授权不是关于显示特定的用户内容(它是一种个性化)，而是关于允许/限制用户访问特定页面或根据有关用户的信息和一组预定义的授权规则在门户上执行特定操作。这里有几个例子:

1. 只允许管理员用户查看/编辑某些内容(基于角色的授权)
2. 允许访问 18 岁以上的用户(基于声明的授权)
3. 仅来自特定地理位置的用户(同样基于声明)

正如您从示例中看到的那样，授权不太适合过滤从数据库中获取的行(如您的情况)。

经验法则是尝试使用授权属性标记操作或页面。因此，如果您想进行“个性化授权”，则必须为每个用户创建操作/页面，这不是您想要做的对吗？