asp.net - 业务逻辑层是否应该实现授权和认证？

Question

我有一个业务逻辑层(“存储库”)，它作为一组由可交换的具体实现支持的 .NET 接口(interface)公开。

最初我让这个业务层实现身份验证和授权(authn/authz)，这意味着我有 IUserIdentity 和 IUserRole 等接口(interface)，并且所有访问敏感数据的方法都采用 IUserIdentity 并在允许操作之前执行授权。

到目前为止，业务层与前端非常不可知......但是现在当我尝试集成到 ASP.NET 网站时，我意识到 ASP.NET 本身内置了丰富的身份验证/授权系统通过成员资格和角色 API。

那么问题来了，我是否应该从业务逻辑层中移除所有的 authn/authz 并依赖 Web 前端来执行此操作？这会简化很多事情，但我不知道我以后是否会后悔把它搬出去。

另一种方法是将 authn/authz 保留在我的业务逻辑中，但通过自定义 Membership/Role 提供程序将其与 ASP.NET 集成。然而，这似乎真的很麻烦......我仍然需要调查这样做的成本。

你会做什么(或已经做过)，为什么？

Answer 1

我认为安全是一个跨领域的问题，属于各个方面。我不知道.NET 是否有方面，除非你使用 Spring.NET。