modello per fare l'autorizzazione a livello di repository di applicazione MVC

Question

Ho un Windows autenticato applicazione MVC con uno strato repository. Tutte le interazioni da parte del controllore con il database vengono effettuate tramite il repository. Ogni controller ha un riferimento al repository:

public class PostController : Controller 
{ 
    private Repository db = new Repository(); 

    [HttpPost] 
    public ActionResult DeletePost(int id) 
    { 
     // Authorize that the user is allowed to delete this post... 

     db.DeletePost(id); 
    } 
} 

La mia domanda è se ci sia un buon modo per spostare la mia logica di autorizzazione nello strato repository. Mi piacerebbe che la funzione Repository.DeletePost() rifiutasse di eliminare i post che non erano stati creati dall'utente autenticato. Il problema è che il mio repository non sa chi è l'utente autenticato. Il controller conosce (tramite Controller.User).

Passando il Controller.User nel costruttore Repository non funziona, perché il Controller.User è a quanto pare non definita nel momento in cui il costruttore viene chiamato.

Come posso informare il Repository di chi è l'utente autenticato è? Sarebbe meglio semplicemente costruire il Repository all'interno di ciascuna azione? O è una cattiva idea gestirlo nel livello repository?

Answer 1

Buoni suggerimenti provenienti sia @BigDaddy e @ChrisPratt.

ho finito per la soluzione di questo con la creazione di un controller di base, simile a this answer. La mia classe controller di base assomiglia:

public class BaseController : Controller 
{ 
    private ILog _log; 
    private Repository _db; 

    protected Repository Db 
    { 
     get 
     { 
      return _db ?? (_db = new Repository(User)); 
     } 
    } 

    protected ILog Log 
    { 
     get 
     { 
      return _log ?? (_log = LogManager.GetLogger(this.GetType())); 
     } 
    } 
} 

Tutti i miei controllori ereditano da questa classe, e hanno integrato l'accesso a un pigro-caricato Repository che ha un riferimento per l'utente attualmente autenticato.

Answer 2

Basta fare qualcosa di simile:

db.DeletePostForUser(id, User.Identity.UserId); 

Poi, nel tuo repository:

public void DeletePostForUser(int id, int userId) 
{ 
    var post = context.Posts.SingleOrDefault(m => m.PostId == id && m.User.UserId == userId) 
    if (post != null) 
    { 
     context.Posts.Remove(post); 
     context.SaveChanges(); 
    } 
} 

Answer 3

o è una cattiva idea di gestirlo nello strato repository?

Penso che il Controller sia un posto migliore per la vostra autorizzazione. Lascia che il repository sia un gateway per i dati e il controller sia un gatekeeper per la tua applicazione. Mi aspetto di vedere la logica dell'autorizzazione/autenticazione il più presto possibile nel ciclo di vita.