4

Estou tendo dificuldade para implementação das Claims para efetuar as autorizações de usuários no meu projeto, já li muita coisa porém não to conseguindo executar. Eu estou usando no projeto o NHibernate.AspNet.Identity pode ser que por esse motivo não consigo executar como nos fóruns e tutoriais lidos, mas não tenho certeza.

Exemplo de como tentei criar:

public async Task Login(LoginViewModel model, string returnUrl)
        {
            if (!ModelState.IsValid)
            {
                return View(model);
            }
            ApplicationUser signedUser = _userManager.FindByEmail(model.Email);
            var result = await _signInManager.PasswordSignInAsync(signedUser.UserName, model.Password, model.RememberMe, shouldLockout: false);

            var identity = new ClaimsIdentity(new[] { new Claim(ClaimTypes.Name, model.Email), }, DefaultAuthenticationTypes.ApplicationCookie, ClaimTypes.Name, ClaimTypes.Role);
            identity.AddClaim(new Claim(ClaimTypes.Role, "Adm"));
            identity.AddClaim(new Claim(ClaimTypes.GivenName, "Teste"));
            identity.AddClaim(new Claim(ClaimTypes.Sid, signedUser.userID));

            switch (result)
            {
                case SignInStatus.Success:
                    return RedirectToLocal(returnUrl);
                case SignInStatus.LockedOut:
                    return View("Lockout");
                case SignInStatus.RequiresVerification:
                    return RedirectToAction("SendCode", new { ReturnUrl = returnUrl, RememberMe = model.RememberMe });
                case SignInStatus.Failure:
                default:
                    ModelState.AddModelError("", "Login ou Senha incorretos.");
                    return View(model);
            }

        }

Exemplo de como estou tentando verificar: inserir a descrição da imagem aqui

  1. Criei uma tabela para salvar as Claims e os UserClaims, agora gostaria de saber como logar e carregar essas claims sem a necessidade de ficar buscando em banco?
  2. Como validar as claims em meus Métodos?
  3. Existe alguma maneira mais eficaz de fazer as autenticação do usuário sem usar as Claims ou Roles(que pelo que pesquisei já esta ultrapassada)?

Obrigado pela atenção!

2 Respostas 2

5

As claims precisam ser adicionadas antes de efetuar o SignIn do usuário, e deve ser adicionada ao objeto ClaimsIdentity que é criado para efetuar aquele SignIn.

Você deve ter uma classe que herda de IdentityUser e é usada com as classes do identity, provavelmente algo como ApplicationUser, contendo o seguinte método:

public async Task<ClaimsIdentity> GenerateUserIdentityAsync(UserManager<ApplicationUser> manager)
{
    var userIdentity = await manager.CreateIdentityAsync(this, DefaultAuthenticationTypes.ApplicationCookie);

    // aqui você adiciona tuas claims
    userIdentity.AddClaim(new Claim(ClaimTypes.Role, "Adm"));
    userIdentity.AddClaim(new Claim(ClaimTypes.GivenName, "Teste"));
    userIdentity.AddClaim(new Claim(ClaimTypes.Sid, this.userID));

    return userIdentity;
}

Esse é o local ideal para você adicionar tuas claims.


Explicação

Eu sinceramente acho esses tutoriais por aí complicados e incompletos, tentarei detalhar sem complicar tanto (assim espero). O identity trabalha com uma série de classes, como:

  1. SignInManager
  2. UserManager
  3. UserStore
  4. IdentityUser
  5. IdentityRole
  6. etc...

Se você não mudou muito do template padrão, lá na pasta App_Start deve ter um arquivo IdentityConfig.cs onde você encontrará uma classe ApplicationSignInManager (que herda de SignInManager<ApplicationUser, string>). Essa é a classe que é utilizada para efetuar o SignIn dos usuários, sendo que tem diferentes formas de login: PasswordSignInAsync() (que é a que você usa no seu exemplo), SignInAsync(), ExternalSignInAsync(), TwoFactorSignInAsync().

Enfim, todas elas em algum momento precisarão criar a identidade do usuário, que é um objeto do tipo ClaimsIdentity. Para isso, durante o processo de SignIn (independente de qual dos métodos tenha sido utilizado), será chamado o método CreateUserIdentityAsync dessa classe. Você deve reparar que nessa classe ApplicationSignInManager é feito um override desse método, com a seguinte implementação:

public override Task<ClaimsIdentity> CreateUserIdentityAsync(ApplicationUser user)
{
    return user.GenerateUserIdentityAsync((UserManager)UserManager);
}

Ou seja, ele chama esse método GenerateUserIdentityAsync do teu usuário, que é alguma classe que herda de IdentityUser. Esse método deve criar e retornar um objeto do tipo ClaimsIdentity que será utilizado no processo de SignIn.

Portanto, esse método é o local ideal para a criação de suas claims customizadas, ao meu ver. Além disso, você deve reparar que no arquivo Startup.Auth.cs nessa mesma pasta, tem o seguinte código:

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    Provider = new CookieAuthenticationProvider
    {
        // Enables the application to validate the security stamp when the user logs in.
        // This is a security feature which is used when you change a password or add an external login to your account.  
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<UserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30),
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
    }
});

Basicamente essa configuração faz com que o identity a cada "x" minutos (nesse caso 30) revalide a identidade do seu usuário, executando o método contido na expressão lambda, nesse caso o mesmo GenerateUserIdentityAsync do teu usuário. Ao criar tuas claims dentro desse método, tu garante que elas permanecerão mesmo após esse período em que o identity revalidar o usuário.

5
  • Explicou muito bem.. Conseguir acompanhar bem sua explicação com meu projeto. Assim como falou aqui esta como ApplicationUser a classe com o método GenerateUserIdentityAsync(). Agora quando busco as claims assim como a imagem que passei antes cujo não carregava nada, agora retorna assim: Imagem Saberia me dizer também como eu removo uma claim dessa lista? 7/07/2017 às 3:27
  • @EluanderJ.F.Lopes no caso, normalmente você monta suas claims dentro do método que indiquei, e não deveria mais adicionar nem remover, mas há situações que isso é inevitável. Você pode compartilhar em que situação você pretende remover uma claim do usuário? O ideal seria você fazer esse tipo de checagem lá naquele método mesmo, e então decidir se irá adicionar uma determinada claim ou não. 7/07/2017 às 4:07
  • Tipo se eu remover o acesso de um determinado usuário do banco de dados. Mas consegui contornar a situação.. Obrigado pela ajuda! 7/07/2017 às 22:12
  • @EluanderJ.F.Lopes entendi, mas que bom que você conseguiu contornar. Eu costumo criar um filtro para ser executado a cada request, onde eu verifico se um usuário deve ser "revalidado", caso seja, eu faço o SignOut do usuário. Para isso, eu cria um Dictionary<string, bool> onde a chave é o Id do usuário e o valor é um bool indicando se deve ou não revalidar. Nos métodos que alteram as roles do usuário, ou no método para remover acesso, eu altero esse valor para true para aquele usuário. Caso ele esteja logado, na próxima request dele, o filtro irá efetuar o SignOut, é assim que eu faço. 8/07/2017 às 0:04
  • @EluanderJ.F.Lopes esse dicionário é estático e costumo deixá-lo em alguma classe Helper, sendo estático garanto que ele estará disponível entre uma request e outra. 8/07/2017 às 0:06
2

Respondendo por partes.

1 - Em algum momento você terá que pesquisar no seu banco de dados as Claims para adiciona-la ao contexto do usuário logado. Parcialmente você está fazendo isso, falta algumas coisas que irei demonstrar:

Nessa sessão você está pesquisando o usuário, validando usuário e senha e criando algumas Claims.

    ApplicationUser signedUser = _userManager.FindByEmail(model.Email);
    var result = await _signInManager.PasswordSignInAsync(signedUser.UserName, model.Password, model.RememberMe, shouldLockout: false);

    var identity = new ClaimsIdentity(new[] { new Claim(ClaimTypes.Name, model.Email), }, DefaultAuthenticationTypes.ApplicationCookie, ClaimTypes.Name, ClaimTypes.Role);
    identity.AddClaim(new Claim(ClaimTypes.Role, "Adm"));
    identity.AddClaim(new Claim(ClaimTypes.GivenName, "Teste"));
    identity.AddClaim(new Claim(ClaimTypes.Sid, signedUser.userID));

Tudo certo até aqui, porém você precisa adicionar as Claims ao contexto do usuário, fazendo isso:

    public IAuthenticationManager AuthenticationManager
    {
        get { return HttpContext.Current.GetOwinContext.Authentication; } 
    }

    public async Task Login(LoginViewModel model, string returnUrl) {
         //... seu código de busca e validação de usuário

         ApplicationUser signedUser = _userManager.FindByEmail(model.Email);
         var result = await _signInManager.PasswordSignInAsync(signedUser.UserName, model.Password, model.RememberMe, shouldLockout: false);

         var identity = new ClaimsIdentity(new[] { new Claim(ClaimTypes.Name, model.Email), }, DefaultAuthenticationTypes.ApplicationCookie, ClaimTypes.Name, ClaimTypes.Role);
         identity.AddClaim(new Claim(ClaimTypes.Role, "Adm"));
         identity.AddClaim(new Claim(ClaimTypes.GivenName, "Teste"));
         identity.AddClaim(new Claim(ClaimTypes.Sid, signedUser.userID));

         AuthenticationManager.SignIn(New AuthenticationProperties {
            AllowRefresh = true,
            IsPersistent = true,
            ExpiresUtc = DateTime.UtcNow.AddDays(1)
         });
    }

Para buscar o valor existente em uma Claim, utilize:

    public string BuscaValorClaim(string strNomeClaim) {
     ClaimsPrincipal listaClaim = ((ClaimsPrincipal), Threading.Thread.CurrentPrincipal)
     return listaClaim.FindFirst((x) => x.Type == strNomeClaim).Value.ToString()
    }
3
  • Você já testou esse código? Olhando do jeito que está, não acredito que irá manter as claims na próxima request, acredito que esteja faltando algo aí...até daria pra fazer funcionar, mas ainda assim está sendo feita uma segunda autenticação desnecessária. 7/07/2017 às 1:32
  • Wesley, quando você falou que ia responder por partes, esperei um segundo item, mas só encontrei o indicado por 1 - 7/07/2017 às 3:32
  • Pode mandar o código da classe do seu _signInManager ? 7/07/2017 às 10:42

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .