Atis.Identity.Token 2.0.0-preview.4

Atis.Identity.Token

ATIS claim kontraktı və icazə modeli. Identity/EF asılılığı yoxdur — yalnız ClaimsPrincipal oxuyur.

Qeydiyyat

using Atis.Identity.Token.DependencyInjection;

services.AddAtisAuthorization(options => options.AddPermissionPolicies(StaffPermissions.All));

StaffPermissions.All — servisin öz icazə sabitlərinin siyahısı. Policy adı = icazə adı.

İstifadə

using Atis.Identity.Token.Authorization;
using Atis.Identity.Token.Constants;

[Authorize(Policy = StaffPermissions.StaffIndex)]
[Authorize(Roles = SystemRoles.AdminOrMinEduOrInstitution)]
public async Task<IActionResult> Index() { ... }

Razor-da:

<div permission="@StaffPermissions.StaffEdit">
    <button>Redaktə et</button>
</div>

_ViewImports.cshtml-ə əlavə et: @addTagHelper *, Atis.Identity.Token

Servislərdə: ICurrentUser (Atis.Identity.Token.Abstractions) inject et (UserId, Fin, InstitutionId, InstitutionAtisId, Roles, HasPermission), və ya Atis.Identity.Token.Extensions.ClaimsPrincipalExtensions üzərindəki ClaimsPrincipal extension-larını birbaşa işlət.

Bu paketdəki nümunələr dörd namespace-ə bölünür:

using Atis.Identity.Token.Abstractions;       // ICurrentUser
using Atis.Identity.Token.Authorization;      // PermissionPolicyBuilder, PermissionRequirement
using Atis.Identity.Token.Constants;          // SystemRoles, UserKey, AtisClaimTypes
using Atis.Identity.Token.DependencyInjection; // AddAtisIdentity / AddAtisAuthorization

İki davranış qərarı

1. Fail-closed. İcazə claim-i olmayan istifadəçi HEÇ NƏ görmür. ATIS Core-un köhnə handler-i əksini edirdi (claim-i olmayana hər şeyi açırdı) — o davranış qəsdən köçürülməyib.
2. Issuer yoxlanılmır. Claim OIDC token-indən gələndə issuer identity serverin adresi olur, lokal Identity-də isə "LOCAL AUTHORITY". Issuer yoxlaması claim mənbəyi dəyişəndə bütün icazələri səssizcə söndürərdi.

⚠ Deploy-dan ƏVVƏL: fail-closed real davranış dəyişikliyidir

Bu paketə keçəndən əvvəl permission claim-i olmayan istifadəçi HƏR ŞEYİ görürdü (fail-open). Keçdikdən sonra həmin istifadəçi HEÇ NƏ görmür. Bu, kod dəyişikliyi deyil, istifadəçi təcrübəsi dəyişikliyidir — planlanmamış halda dəstək müraciətlərinin partlaması ilə üzləşə bilərsiniz.

Deploy-dan ƏVVƏL ATIS DB-də bunu işlət və nəticəni qiymətləndir:

SELECT u.Id, u.UserName
FROM AspNetUsers u
-- aktiv istifadəçi şərtini öz sxeminizə uyğunlaşdırın; mötərizələr VACİBDİR:
-- T-SQL-də AND, OR-dan güclü bağlayır, mötərizəsiz sorğu icazəsi OLAN istifadəçiləri də qaytarar
WHERE (u.LockoutEnabled = 0 OR u.LockoutEnd IS NULL)
  AND NOT EXISTS (
      SELECT 1 FROM AspNetUserClaims c
      WHERE c.UserId = u.Id AND c.ClaimType = 'permission'
  );

Bu sorğunun qaytardığı hər istifadəçi deploy-dan sonra əvvəllər gördüyü hər şeyi itirəcək. Say əvvəlcədən məlum olmalıdır — deploy GÖZLƏNİLMƏZ nəticə ilə deyil, bilinən "blast radius" ilə edilməlidir.

Qeydiyyatdan keçməmiş policy = exception

AuthorizeAsync (deməli, [Authorize(Policy = ...)] VƏ <div permission="..."> da) adı ilə qeydiyyatdan keçməmiş policy üçün çağırılarsa exception atır — səssizcə rədd ETMİR. Bu qəsdəndir: Razor view-da icazə adında yazı səhvi 500 kimi dərhal görünür (səssiz "gizli düymə" və ya səssiz "hamıya açıq düymə"-dən daha yaxşıdır), amma bu o deməkdir ki, hər permission="..." atributunun və hər [Authorize(Policy = ...)]-in qarşılığı AddPermissionPolicies(...) çağırışında olmalıdır — yoxsa production-da 500 alarsınız.

Atis.TokenManager-dən miqrasiya

Rollar

SystemRoles ATIS Core-un və köhnə Atis.TokenManager-in siyahılarının birləşməsidir (14 rol) — ortaq DB-yə hər iki tərəf rol seed edir. Dəyərlər PascalCase-dir və normallaşdırılmır.