Existem outros padrões para autorização/permissão de usuário diferentes do padrão Role-based access control implementado pela Microsoft para tecnologias .NET?
2 Respostas
Pela Microsoft, há basicamente 3 maneiras de padrão de Design para permissões:
- Por Roles;
- Por Claims;
- Por algum outro padrão implementado pelo usuário (http://msdn.microsoft.com/en-us/library/ms729794.aspx)
O padrão mais difundido é o Role-Based, justamente porque até o surgimento do ASP.NET Identity o padrão utilizando até o MVC4 era o Membership e suas variantes (Simple Membership, Extended Membership, e assim por diante).
O padrão Claims-Based surgiu com o ASP.NET Identity, em que foi repensada toda a estrutura de autenticação, fragmentando ao máximo a identidade do usuário. Uma Claim (reinivindicação, em tradução livre), é uma fração da identidade do usuário que contém uma identificação e uma chave de acesso criptografada. Através disso, este fragmento de permissão dá o direito ao usuário de reivindicar acesso a uma determinada parte do sistema.
Há também este post bem interessante que discute largamente os problemas do padrão Role-Based, e sugere uma implementação Activity-Based, que seria uma variação simplificada do padrão Claims-Based.
Isso depende da tecnologia que você está utilizando. Caso você esteja utilizando MVC, eu indicaria voce customizar uma classe e especificar as roles, por exemplo a classe AuthorizeAttribute(System.Web.Mvc).
Nesse link explica certinho e tem alguns exemplos: