4

Tenho um sistema web desenvolvido em ASP.NET MVC 4.

Uma das funcionalidades é o gerenciamento de usuários. Um CRUD de usuários.

Meu método de login é o seguinte:

[HttpPost]
public ActionResult Login(LoginViewModel loginViewModel)
{
    if (_loginService == null)
        _loginService = new LoginService();

    var result = _loginService.Login(loginViewModel.User, loginViewModel.Password);
    if (!result.Error)
    {
        var userData = JsonConvert.SerializeObject(result.User);
        FormsAuthentication.SetAuthCookie(result.User.Id, false);
        var ticket = new FormsAuthenticationTicket(1, result.Id, DateTime.Now, DateTime.Now.AddMinutes(9999), true, userData, FormsAuthentication.FormsCookiePath);
        var encryptedCookie = FormsAuthentication.Encrypt(ticket);
        var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedCookie) { Expires = DateTime.Now.AddHours(14) };

        Response.Cookies.Add(cookie);
    }
    return new JsonResult
    {
        Data = result
    };
}

Sim, está em inglês mesmo porque o sistema será mantido por várias empresas.

Enfim, trato o retorno desse método no lado cliente, com javascript. Como podem imaginar, eu utilizo o atributo [Authorize] em toda Controller em que a autenticação é obrigatória.

Vamos supor que eu acabei de logar no sistema com o usuário StackOverflow. Estou navegando normalmente até que um outro usuário identificado como DoMal resolve me excluir do sistema. Como eu estou somente excluindo o usuário na ação de Delete, o usuário StackOverflow irá navegar normalmente no site mesmo quando for excluido. Até, obviamente, o cookie expirar. O problema é que eu quero alguma maneira de terminar a sessão dele de imediato.

Tem alguma forma de terminar a sessão somente do StackOverflow no IIS? Ou forçar o cookie a expirar?

A unica coisa que eu não quero fazer é criar uma verificação de existencia do usuário on-line em cada ação feita no site.

Alguma ideia, sugestão?

5
  • Aqui tem um começo de onde pode seguir. stackoverflow.com/questions/12379215/…
    – Marconi
    Commented 1/11/2016 às 12:27
  • Quando o usuario é removido, você tem acesso à id dele (ou algo do tipo). O que te impede de chamar SignOut nesse usuário? Nesse caso vc "deslogaria" esse usuario somente no metodo do controller que remove tal usuario. Para lidar o cookie, ja tentou FormsAuthentication.SetAuthCookie(user, false)? Se nada funcionar, voce pode fazer sua verificacao em Application_BeginRequest ao inves de espalhar pelo sistema.
    – victor
    Commented 2/11/2016 às 3:04
  • @victor: Porque o SignOut não aceita parâmetros.. eu quero fazer o SignOut de um usuário que não seja o corrente. Sim, já uso o FormsAuthentication.SetAuthCookie(user, false). Quanto a implementação do beginRequest é justamente o que eu não quero fazer: Em toda request, validar a existencia do usuário no banco. Commented 3/11/2016 às 12:12
  • @MarllonNasser por favor, caso a resposta abaixo esteja correta, favor assinlar. obrigado Commented 12/07/2017 às 0:22
  • @ThomasErichPimentel: A resposta não atende à minha necessidade em específico mas funcionaria no geral. Commented 12/07/2017 às 0:23

1 Resposta 1

1

Você tem que implementar o seu próprio Authorize Attribute. Você pode reaproveitar a implementação existente e derivar do atributo authorize e fazer as modificações que necessita:

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(HttpActionContext actionContext)
    {
        if (actionContext.RequestContext.Principal != null &&
            actionContext.RequestContext.Principal.Identity.IsAuthenticated)
        {
            //o utilizador está autenticado, mas será que ainda existe na base de dados?

            var userName = actionContext.RequestContext.Principal.Identity.Name;
            object user = null;  //aqui faz consulta na base de dados por userName
            if (user == null) //se o utilizador nao existe, apaga o cookie
            {
                FormsAuthentication.SignOut();
            }

        }
        base.HandleUnauthorizedRequest(actionContext);
    }
}

Não garanto que esse código vá funcionar á primeira, mas deve dar-lhe uma ideia do que deve de fazer.

2
  • mas isso seria em cada requisição, certo? Commented 14/11/2016 às 4:27
  • @Marllon Nasser voce usa o atributo da mesma forma que o Authorize. Pode mete-lo nos controllers ou nas actions Commented 14/11/2016 às 8:10

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .