ASP.NET MVC 安全性 - 您应该在哪一层检查用户是否有权查看实体？

Question

我有一个多层(但不是多层)ASP.NET 应用程序，需要检查登录用户是否有权查看/编辑实体。我可以想到几种实现:

a) 使用 ActionFilter 检查用户是否有权查看/编辑 UI 中的实体

b) 检查用户是否有权使用 AOP 查看/编辑 ServiceLayer 中的实体

c) 两者都做吗？

如果您不同意 a)、b) 或 c)，您认为我应该在我的软件应用程序的哪个层中检查用户授权？

Answer 1

根据我的个人经验，在更广泛的层面上，我发现需要同时做到这两点 (c)。我必须验证操作以及服务层中的权限。对于这种特定场景，让操作过滤器调用您的服务层，或者首先检查权限并且不完全呈现查看/编辑功能可能是有意义的。

您本质上是在谈论细化权限；我不知道您使用数据存储来做什么。无论您采取什么方法，请确保您为效率/性能做好规划。