4

Estou desenvolvendo uma aplicação para uma escola, onde se faz o controle de alunos que ela tem. A aplicação faz o cadastro de alunos e cadastro de ocorrências(suspensão ou advertência) que o aluno fez. E nesse contexto, preciso fazer o login diferentes níveis de acesso.

Por exemplo, preciso ter três tipo de perfis: Administrador(que pode fazer tudo, controle total), Professor(que só pode cadastrar e editar novas ocorrências e ver os dados dos alunos, mas não alterá-los ou excluí-los) e Coordenadores(que não podem alterar ou excluir os dados dos alunos, só pode ver esses dados, mas podem adicionar, editar e excluir as ocorrências criadas).

Já procurei em vários artigos sobre o tema, mas fico mais confuso, pois uns usam SimpleMembershipProvider outros usam o Forms... Mas a minha dúvida é: Qual implementação seria melhor e se tem algum exemplo que eu possa seguir pra fazer esse tipo de autenticação em minha aplicação ? Eu teria que criar outras views ou tem como restringir o acesso nas actions ? Queria a ajuda de vocês, pois sou novo em asp.net mvc e não sei muito onde procurar algo que seja realmente útil.

Até porque eu baixei uma apostila, e quando se vai fazer as roles, adiciona os usuários que podem acessar determinadas áreas na mão, e num é isso que quero, pois na escola tem MUITOS professores, coordenadores, e seria difícil manter esse tipo de código. E ah, lembrando que quem vai adicionar novos usuários é o administrador, pois ele tem todos os privilégios.

1 Resposta 1

5

Você pode decorar os Controllers ou/e Methods com um Atributo de Autorização.

Exemplo

Crie um classe assim fazendo herança com FilterAttribute e implementando IAuthorizationFilter:

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
public class PermissionAttribute : FilterAttribute, IAuthorizationFilter 
{
    public string Roles { get; set; }
    public PermissionAttribute(String Roles)
    {
        this.Roles = Roles;
    }
    public void OnAuthorization(AuthorizationContext filterContext)
    {
        if (filterContext.RequestContext.HttpContext.User.Identity.IsAuthenticated)
        {
            if (filterContext.RequestContext.HttpContext.Session[".PermissionCookie"] != null)
            {
                String[] ItemSession = filterContext.RequestContext.HttpContext.Session[".PermissionCookie"].ToString().Split(',');
                if (ItemSession != null)
                {
                    String[] ItemRoles = Roles.Split(',');
                    int i = 0;
                    int j = 0;
                    bool f = false;
                    while (i < ItemRoles.Count() && !f)
                    {
                        j = 0;
                        while (j < ItemSession.Count() && !f)
                        {
                            if (ItemRoles[i] == ItemSession[j])
                            {
                                f = true;
                            }
                            j++;
                        }
                        i++;
                    }
                    if (f == false)
                    {
                        FormsAuthentication.SignOut();
                        filterContext.Result = new HttpUnauthorizedResult("Sem permissão");
                    }
                }
            }
        }
        else
        {
            filterContext.Result = new HttpUnauthorizedResult("Sem permissão");
        }
    }    
}

Nos Controllers você decora eles assim:

[PermissionAttribute("Administrador,Aluno")]
public class CreditosController : Controller

[PermissionAttribute("Administrador")]
public class UsuariosController : Controller

Por Método

[PermissionAttribute("Administrador")]
public ActionResult UsuariosView(){
}

Isso é a parte de conferência da regra, sendo que no login do usuário deve ter uma rotina parecida com esta (tudo vai depender da sua regras de negócio):

FormsAuthentication.SetAuthCookie(login.UserName, User.Remember);
Session.Add(".PermissionCookie", "Administrador"); 
// ou Session.Add(".PermissionCookie", "Administrador,Aluno"); 
// ou Session.Add(".PermissionCookie", "Aluno"); 
return RedirectToAction("Index", "Administrativo");

Nesse caso está sendo armazenado na Session .PermissionCookie, mas, você pode guardar em Cookie ou em Banco isso tudo dependendo da sua regra!

Referências:

6
  • Ótima abordagem. Apenas faltou no código do Permission colocar este comentário aqui: //faça aqui de acordo com sua regra de negócio! Commented 25/05/2014 às 21:39
  • @CiganoMorrisonMendez, você retirou algumas coisas que não confere, PermissionAttribute é desse jeito mesmo, segue o nome da classe, que foi criado por mim, e a mesma não tem Alias.
    – user6026
    Commented 25/05/2014 às 22:59
  • Então, mas isso porque teve o erro de grafia que eu arrumei antes. De Atrribute (com dois 'r') pra Attribute. O Framework entende que é um atributo, então a palavra pode ser simplesmente retirada. Commented 26/05/2014 às 15:07
  • @CiganoMorrisonMendez, foi feito com esse nome! então eu postei assim e ratificando não fiz o alias, poderia, como está no meu sistemas, achei melhor fazer assim para que o usuário entenda que tal classe é um Attribute, e faça correlação, o pior é que você alterou nos Métodos e ActionResult e deixou a classe com o mesmo nome podendo ai dar confusão para os novos usuários que possam ver esse código, e ai ficar perguntando porque tal erro já visto que não tem o alias!!!
    – user6026
    Commented 26/05/2014 às 19:49
  • Bom, então ok. Eu tinha imaginado que estava errado, mas se assim funciona, sem problemas. Desculpe pelo inconveniente. Commented 26/05/2014 às 19:52

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .