سیستم دسترسی در یک سیستم، همیشه برای من چالش برانگیز بوده است. با دیدن کدهای مختلف از افراد مختلف، شیوه‌های گوناگونی از کدنویسی را دیده‌ام؛ ولی یکی از نکاتی که در بین آنها بررسی نشده بود و یا از آن غافل مانده بودند، بررسی بعضی از عناصر موجود در ویو بود که باید با توجه به نقش کاربر سیستم، وضعیت آن بررسی میشد.
برای مثال تصور کنید که شما دو کاربر دارید که هر دو سطح دسترسی به پروفایل کاربران دیگر را دارند. ولی یکی از کاربرها این توانایی را دارد تا با کلیک بر روی دکمه‌ای، لاگین کاربر مورد نظر را مسدود نماید، ولی دیگری نمی‌تواند این دکمه را ببیند، یا برای او به صورت غیرفعال نمایش داده شود. در اکثر این مواقع کاری که برنامه نویسان انجام میدهند، نوشتن توابع به شیوه‌های گوناگون در لابلای انبوهی از کدهای View هست تا بتوانند این مسئله را پیاده سازی کنند. ولی با اضافه شدن هر چه بیشتر این عناصر به صفحه و با توجه به انبوهی از ویووها و ویووکامپوننت‌ها کار بسیار سخت‌تر میشود.
به همین جهت من از فیلترها در MVC کمک گرفتم و این موضوع را با توجه به خروجی نهایی صفحه بررسی میکنم. به این معنا که وقتی صفحه بدون هیچ گونه اعتبارسنجی در سطح ویو آماده شد، با استفاده از فیلتر مورد نظر که به صورت سراسری اضافه شده است، بررسی میکنم که آیا این کاربر حق دارد بعضی از المان‌ها را ببیند یا خیر؟ در صورتیکه برای هر المان موجود در صفحه اعتباری نداشته باشد، آن المان از صفحه حذف و یا غیرفعال میشود.
ابتدا یک صفحه را با المان‌های زیر میسازیم. از آنجا که بیشتر تگ‌های عملیاتی از نوع لینک و دکمه هستند، از هر کدام، سه عنصر به صفحه اضافه میکنیم:
<button data-perm="true" data-controller="c" data-action="r" data-method="post" data-type="disable">Test 1</button> <button data-perm="true" data-controller="c" data-action="t" data-method="post">Test 2</button> <button data-perm="false" data-controller="c" data-action="r" data-method="post">Test 3</button> <a data-perm="true" data-controller="c" data-action="m" data-method="post">Test 4</a> <a data-perm="false" data-controller="c" data-action="m" data-method="post">Test 5</a> <a data-perm="true" data-controller="c" data-action="t" data-method="post">Test 6</a>
| ویژگی | توضیحات |
| perm | آیا نیاز به اعتبارسنجی دارد یا خیر؟ در صورتی که المانی مقدار Perm آن با مقدار true پر گردد، اعتبارسنجی روی آن اعمال خواهد شد. |
| controller | نام کنترلری که به آن دسترسی دارد. |
| action | نام اکشنی که به آن در کنترلر ذکر شده دسترسی دارد. |
| method | در صورتیکه دسترسی get و post و ... هر یک متفاوت باشد. |
| type | نحوه برخورد با المان غیرمجاز. در صورتیکه با disable مقداردهی شود، المان غیرفعال و در غیر اینصورت، از روی صفحه حذف میشود. |
سپس یک کلاس جدید ساخته و با ارث بری از ActionFilterAttribute، کار ساخت فیلتر را آغاز میکنیم:
public class AuthorizePage: ActionFilterAttribute
{
private HtmlTextWriter _htmlTextWriter;
private StringWriter _stringWriter;
private StringBuilder _stringBuilder;
private HttpWriter _output;
IAuthorization _auth;
public override void OnActionExecuting(ActionExecutingContext filterContext)
{
_stringBuilder = new StringBuilder();
_stringWriter = new StringWriter(_stringBuilder);
_htmlTextWriter = new HtmlTextWriter(_stringWriter);
_output = (HttpWriter) filterContext.RequestContext.HttpContext.Response.Output;
filterContext.RequestContext.HttpContext.Response.Output = _htmlTextWriter;
_auth = new Auth();
}
public override void OnResultExecuted(ResultExecutedContext filterContext)
{
var response = _stringBuilder.ToString();
response = AuthorizeTags(response);
_output.Write(response);
}
public string AuthorizeTags(string response)
{
var doc = GetHtmlDocument(response);
var nodes=doc.DocumentNode.SelectNodes("//*[@data-perm]");
if (nodes == null)
return response;
foreach(var node in nodes)
{
var dataPermission = node.Attributes["data-perm"];
if(!dataPermission.Value.TryBooleanParse())
{
continue;
}
var controller = node.Attributes["data-controller"].Value;
var action = node.Attributes["data-action"].Value;
var method = node.Attributes["data-method"].Value;
var access=_auth.Authorize(HttpContext.Current.User.Identity.Name , controller, action, method);
if (access)
continue;
var removeElm = true;
var type = node.Attributes["data-type"]?.Value;
if (type!=null && type.ToLower()== "disable")
{
removeElm = false;
}
if(removeElm)
{
node.Remove();
continue;
}
node.Attributes.Add("disabled", "true");
}
return doc.DocumentNode.OuterHtml;
}
private HtmlDocument GetHtmlDocument(string htmlContent)
{
var doc = new HtmlDocument
{
OptionOutputAsXml = true,
OptionDefaultStreamEncoding = Encoding.UTF8
};
doc.LoadHtml(htmlContent);
return doc;
}
} public interface IAuthorization
{
bool Authorize(string userId, string controller, string action, string method);
} ادامه کد در متد OnResultExecuted قرار دارد و متد اصلی کار ما میباشد. این متد بعد از صدور خروجی از اکشن، صدا زده شده اجرا میشود و شامل خروجی اکشن میباشد. خروجی اکشن را به متدی به نام AuthorizeResponse داده و با استفاده از بسته htmlagilitypack که یک HTML Parser میباشد، کدهای HTML را تحلیل میکنیم. قاعده فیلترسازی المان‌ها در این کتابخانه بر اساس قواعد تعریف شده در XPath میباشد. بر اساس این قاعده ما گفتیم هر نوع تگی که دارای ویژگی data-perm میباشد، باید به عنوان گره‌های فیلتر شده برگشت داده شود. سپس مقادیر نام کنترلر و اکشن و ... از المان دریافت شده و با استفاده از اینترفیسی که ما اینجا تعریف کرده‌ایم، بررسی میکنیم که آیا این کاربر به این موارد دسترسی دارد یا خیر. در صورتیکه پاسخ برگشتی، از عدم اعتبار کاربر بگوید، گره مورد نظر حذف و یا در صورتیکه ویژگی data-type وجود داشته و مقدارش برابر disable باشد، آن المان غیرفعال خواهد شد. در نهایت کد تولیدی سند را به رشته تبدیل کرده و جایگزین خروجی فعلی میکنیم.
جهت تعریف سراسری آن در Global.asax داریم:
protected void Application_Start()
{
GlobalFilters.Filters.Add(new AuthorizePage());
} 
