Dúvida
Estou com um projeto em que toda a regra de negócio está encapsulada em um conjunto de DLL's com arquitetura em 3 camadas.
Gostaria de saber, qual é a melhor abordagem para o controle de autorização nestas dll's. É possível utilizar o Identity? Existe algum design pattern ou alguma outra abordagem mais indicada para solucionar este problema?
Levando em consideração que um usuário pode ter um perfil com acesso a determinadas funcionalidades (métodos ou classes).
Inicialmente, implementei uma tabela de funcionalidades e uma tabela de perfil que contem estas funcionalidades. Na aplicação, um Attribute acima de métodos ou de classes indica qual funcionalidade pode acessar o código.
Para verificar se o usuário pode acessar o código, é verificado se o perfil deste tem a funcionalidade descrita no Attribute. Contudo, não tenho certeza de que esta forma é a mais elegante para a situação.
Arquitetura
A arquitetura da solução está implementada de acordo com a arquitetura Onion. A camada Service encapsula toda a regra de negócio do sistema e tem acesso ao Domain e aos Repositorios.
O projeto Web (MVC) e Web Api possuem acesso a DLL Services, e o controle de acesso entra neste momento. Para evitar que estes e os demais projetos externos que queiram acessar os Services implementem cada um seus controles de autorização, foi criado um controle de acesso conforme descrito abaixo.
Código atual
AttributeUsage(AttributeTargets.Method)]
public class ControleAcessoAttribute : Attribute
{
private string[] funcionalidades;
private UsuarioAutenticado usuario;
public ControleAcessoAttribute(params string[] funcionalidades)
{
this.funcionalidades = funcionalidades;
this.usuario = UsuarioAutenticado.GetInstance();
VerificarAcesso();
}
public void VerificarAcesso()
{
var isAutorizado = VerificarFuncionalidades();
if(!isAutorizado)
{
throw new NegocioException("O usuário autenticado não possui permissão para acessar esta funcionalidade.");
}
}
public bool VerificarFuncionalidades()
{
foreach (var item in usuario.Perfil.Funcoes)
{
for (int i = 0; i < funcionalidades.Length; i++)
{
if(item.Descricao.Contains(funcionalidades[i]))
return true;
}
}
return false;
}
Método de utilização
public class Foo
{
[ControleAcesso("Bar","Foo")]
public void Bar()
{
//Some code here
}
}
Um outro problema
Um outro problema que estou enfrentando é em saber qual é o usuário autenticado nas aplicações, uma vez que o projeto web pode implementar Session e outros não. Esta autenticação deveria ser responsabilidade da DLL? O mais correto seria guardar a autenticação no banco de dados?