ASP.NET MVC：根据用户的访问动态呈现控件

Question

在我的应用程序中，我有两个角色：管理员和用户。管理员可以分配用户以允许他们对特定对象执行特定功能。

由于这超出了 SimpleMembership 角色可以提供的范围，我有一个静态帮助方法来检查用户是否有权访问特定功能：

public static class SecurityCheck
{
    public static bool UserHasAccess(int objectId, string functionName)
    {
        // Decorates the security provider -- gets logged in User ID and calls to a repository to query the database
        // ...
    }
}

然后我可以在我的视图中使用它来确定是否应该根据对象的 ID 为该用户呈现特定功能：

@foreach (var item in Model.FooData)
{
    <tr>
        <td>
            @Html.DisplayFor(modelItem => item.Name)
        </td>
        <td>
            @Html.DisplayFor(modelItem => item.Notes)
        </td>
        <td>
            @Html.ActionLink("View Data", "View", new { @id = item.Id })
            @if (SecurityCheck.UserHasAccess(item.id, "Edit Data"))
            {
                @Html.ActionLink("Edit Data", "Edit", new {@id = item.Id})
            }
            @if (SecurityCheck.UserHasAccess(item.id, "Delete"))
            {
                @Html.ActionLink("Delete", "Delete", new {@id = item.Id})
            }
        </td>
    </tr>
}

我必须相信有更好的方法来做到这一点，因为对静态方法的每个单独调用都涉及到数据库的单独往返，但我被困在放置代码的最佳位置。我考虑过的一些想法：

1. 向我的 ViewModel 添加方法以将函数列表传递到存储库，返回用户可以为每个对象执行的函数列表。进一步考虑这一点，我什至不确定这是否可能，尽管它会很丑陋。
2. 让 ViewModel 保持不变，让我的应用层服务获取可用功能。这将涉及向我的域模型对象添加其他属性，我对此并不着迷。
3. 创建一个可以从控制器调用的单独服务，该控制器可以将函数列表填充到 ViewModel。这将涉及将多个服务注入到每个控制器中——这也不是很疯狂。

我倾向于#2。但我仍然觉得我忽略了更可靠的实现。有没有人处理过类似的事情？

Answer 1

我认为每个 ViewModel 都“知道”可以用它做什么，不是吗？所以我们可以使隐式显式。 ViewModel 可以显式地具有 CanEdit、CanDelete 等属性。

UI 不应该关心为什么允许或不允许某些操作，它只是以某种方式检查这些属性：

@if (item.CanEdit)
{
   @Html.ActionLink("Edit Data", "Edit", new {@id = item.Id})
}

你甚至可以想出一个帮助器，它接受另一个boolean 作为参数来决定是否应该呈现（或启用）控件，但它是次要的：

@Html.SecureActionLink(item.CanEdit, "Edit Data", "Edit", new {@id = item.Id})

这个想法是，用户界面不有责任知道如何确定某事是否由于某些业务规则而被允许。 但是 UI 有责任知道如何以及在一个 ViewModel 中渲染什么不是 Editable 或另一个是 ReadOnly（不同的东西可以有不同的状态）。

此外，由于我们正在讨论 DDD，我建议不要对 CRUD 操作建模。归根结底，DDD 是关于无处不在的语言，而“创建、更新、删除”并不是真正的语言业务。

因此，您最终会在模型中获得更精确和更有意义的属性/操作，例如CanAccept（用于订单屏幕）或“CanMakeRefund”（用于付款）。

在构建 ViewModel 并向其应用安全上下文时解析/设置这些属性。

希望对你有帮助。

Answer 2

也许您需要使用 SimpleMembership 角色：

Assigning Roles with MVC SimpleMembership

在标准的 MVC 成员资格中，您可以使用如下内容：

Roles.AddUserToRole(model.UserName, "Admin");

在你看来例如：

if (ViewContext.HttpContext.User.IsInRole("Admin"))