0

Estou desenvolvendo minha primeira aplicação em .net MVC.

Normalmente quando trabalhava com Web form, após o usuário realizar o login as informações dele (nome, e-mail, permissões, etc) eram salvas na sessão. Desta forma, a cada requisição era possível validar se realmente ele tem permissão para acessar uma página ou funcionalidade sem a necessidade de ler o banco de dados novamente.

Andei lendo alguns posts relacionados a não utilização de Session para armazenar este tipo de informações, uma vez que pode comprometer a escalabilidade da aplicação. Baseado nisso, qual seria a melhor forma de armazenar as informações do usuário logado? Como validar as permissões quando uma requisição chega no servidor?

2 Respostas 2

1

O melhor a se fazer no MVC é usar o Identity. Eu havia feito meu próprio controle de acesso mas me rendi ao Identity a partir da versão 2.x pois é bem mais flexível que em versões anteriores. Ele usa o banco de dados, quando você cria uma nova aplicação e registra um usuário ele vai automaticamente criar um banco de dados express local na sua aplicação e cria as tabelas e registra este novo usuário. Mas você pode também gravar estas tabelas em um banco externo e mudar a connection string para este banco, com isso terá seu controle de acesso no seu próprio banco de dados. Segue um link que vai lhe explicar passo a passo o Identity: http://eduardopires.net.br/2014/08/asp-net-identity-tutorial-completo

0

Atualmente o melhor modelo de autenticação/autorização é através de um token trafegando-o pelo header da requisição.

Existe uma especificação que aborda isso, é o OpenID Connect (OIDC).

Os grandes players usam essa especificação para que você possa integrar e usar o serviço de login deles (Google por exemplo).

Apesar de aconselhar você a usar OIDC, eu não aconselho você a implementar a especificação. Procure sobre Identity Server 4 (identityserver4) e veja os exemplos que eles tem no repositorio do github.

Usando OIDC você terá suporte a aplicações webforms, mvc, spa, console, mobile.

No final das contas, você irá terceirizar o processo de login da sua aplicação, delegando esse trabalho a outra aplicação e mantendo uma relação de confiança entre as aplicações.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .