I contratti di codice dovrebbero essere utilizzati per motivi di sicurezza?

Question

Ci sono motivi per cui non si dovrebbero utilizzare i Contratti di codice per applicare le regole aziendali?

Immaginate di avere una classe User che rappresenta un singolo utente di un sistema e definisce le azioni che possono essere eseguite contro altri utenti. Si potrebbe scrivere un metodo ChangePassword come questo ...

public void ChangePassword(User requestingUser, string newPassword) 
{ 
    Contract.Requires<ArgumentNullException>(requestingUser); 
    Contract.Requires<ArgumentNullException>(newPassword); 

    // Users can always change their own password, but they must be an 
    // administrator to change someone else's. 
    if (requestingUser.UserId != this.UserId && 
     !requestingUser.IsInRole("Administrator")) 
     throw new SecurityException("You don't have permission to do that."); 

    // Change the password. 
    ... 
} 

Oppure si potrebbe implementare il controllo di sicurezza come condizione preliminare con Contract.Requires ...

public void ChangePassword(User requestingUser, string newPassword) 
{ 
    Contract.Requires<ArgumentNullException>(requestingUser != null); 
    Contract.Requires<ArgumentNullException>(newPassword != null); 

    // Users can always change their own password, but they must be an 
    // administrator to change someone else's. 
    Contract.Requires<SecurityException>(
     requestingUser.UserId == this.UserId || 
     !requestingUser.IsInRole("Administrator"), 
     "You don't have permission to do that."); 

    // Change the password. 
    ... 
} 

Quali sono i vantaggi e gli svantaggi di questi due metodi ?

Answer 1

Penso che la risposta sia no. I contratti di codice sono progettati per scenari in cui il loro errore indica un errore grave nel codice. Dovrebbero essere non essere qualcosa che può essere recuperato da un input utente errato.

Requires<T> è destinato a essere utilizzato solo su metodi pubblici di una libreria che verrà utilizzato da altri che non utilizzano Contratti di codice o se si dispone di codice legacy che deve rimanere compatibile in termini di quali eccezioni può generare.

Per il nuovo codice, si dovrebbe utilizzare solo Requires, non Requires<T>. Normale Requires genera un'eccezione non modificabile per impostazione predefinita, per costringerti ad affrontare il problema.

Inoltre, se qualcuno disattiva il controllo del runtime dei Contratti di codice, tutta la sicurezza scompare!