保护敏感实体数据

Question

我正在寻找一些有关具有某些特殊性的客户端/服务器解决方案的体系结构的建议。

客户端是一个相当厚重的客户端，服务器主要负责持久性、并发性和基础设施问题。 服务器包含许多包含敏感信息和公共信息的实体。例如，假设实体是人，假设社会安全号码和姓名是敏感的，并且年龄是公开可见的。

启动客户端时，用户会看到许多实体，但不会泄露任何敏感信息。用户可以随时选择登录并针对服务器进行身份验证，如果身份验证成功，则用户将被授予访问敏感信息的权限。

客户端正在托管一个域模型，我正在考虑将其实现为某种“延迟加载”，使第一个请求实例化实体，然后使用敏感数据刷新它们。当敏感信息尚未公开时，实体 getter 会抛出异常，fe：

class PersonImpl : PersonEntity
{
    private bool undisclosed;

    public override string SocialSecurityNumber {
        get {
            if (undisclosed)
                throw new UndisclosedDataException();

            return base.SocialSecurityNumber;
        }
    }
}

另一种更友好的方法可能是使用一个值对象来指示该值未公开。

get {
    if (undisclosed)
        return undisclosedValue;

    return base.SocialSecurityNumber;
}

一些担忧：

• 如果用户登录然后退出，敏感数据已加载但必须再次泄露怎么办？
• 有人可能会争辩说，这种类型的功能属于域内，而不是某些基础设施实现（即存储库实现）。
• 与往常一样，在处理大量属性时，存在此类功能使代码混乱的风险

任何见解或讨论都值得赞赏！

Answer 1

我认为这实际上是使用视图模型的一个很好的例子。由于实体包含数据，您的担忧似乎与实体的消耗直接相关。您可以将实体限制为仅存在于域内，而不是将实体一直传递到 UI - 即根本没有实体传入或传出域，大多数/所有活动都通过命令/查询方法完成在存储库上。然后，存储库将返回视图模型而不是实体。

那么这如何/为什么适用呢？您实际上可以有两个不同的视图模型。一种用于经过身份验证的用户，一种用于未经身份验证的用户。您在经过身份验证的视图模型中公开敏感数据的实际值，而不是未经身份验证的视图模型。您可以让它们从公共接口派生，然后针对接口而不是对象类型进行编码。对于未经身份验证的用户的具体实现，您可以只填充非敏感数据，让敏感 getter 执行您希望他们执行的操作。

我的意见有几点：

• 我不喜欢实体中的延迟加载。延迟加载是数据访问的责任，而不是模型的真正一部分。对我来说，它是我在我的领域中极力避免的事情的一流成员，还有分页和排序。至于如何将这些项目关联在一起，我宁愿通过 ID 指针将对象松散地耦合到其他实体。如果我想要/需要这些实体之一包含的数据，那么我可以加载它。在某种程度上，它有点像延迟加载，但我通过这样做来强制它永远不会在域模型本身中发生。
• 我不喜欢在吸气剂上抛出异常。另一方面，二传手则很好。我是这样看的。实体应始终处于有效状态。 Getters 不会影响实体的状态 - Setters 会。添加 setter 可以增强模型的完整性。使用两个视图模型方法可以让我将逻辑移至演示者。因此，我基本上可以做类似“如果用户属于未授权类型，则执行此操作；否则执行其他操作”之类的操作。由于您所指的最终是数据如何呈现给用户的情况，并且对模型并不重要，因此我认为它很适合。一般来说，我对可以为 null 的属性使用可为 null 的类型，并且不会对 getter 强制执行任何操作，因为这通常不是其职责的一部分。相反，我使用角色来确定要使用的视图模型。

明显的缺点是使用视图模型需要更多的编码，但它的明显好处是将表示和视图与域解耦。它还有助于单元/集成测试，您可以验证特定视图模型是否无法返回某种类型的数据。

但是，您可以使用类似于 AutoMapper 的东西（取决于您的平台）来帮助填充您的视图来自您的实体的模型。

Answer 2

我犯了一个错误，在没有创建 OpenId 的情况下发布了问题，所以看起来我必须在这里发表评论（？）。

首先，感谢您花时间回答 - 这当然更多地与数据的呈现方式有关，而不是模型的工作方式。不过，我觉得有必要澄清一些事情。
域模型/实体永远不会直接从 UI 引用。我使用 DM-V-VM 模式的变体来分离 UI/业务模型。对于一般的延迟加载和存储库实现，我在基础设施层中有实体实现，其中处理序列化、脏跟踪和延迟加载等事情。

因此，域层具有如下实体：

class Entity {
    virtual string SocialSecurityNumber { get; }
}

基础设施层添加了一些其他功能，以便能够从服务器更新和恢复实体：

class EntityImpl : Entity {
    bool isDirty;
    bool isLoaded;
    // Provide the means to set value on deserialization
    override string SocialSecurityNumber;
}

因此，延迟加载行为将在基础设施层中实现，并且域层永远不会看到。

我同意使用吸气剂并不好，但我担心的是匿名视图模型如何检索数据。截至目前，要检索实体列表，视图模型将保存对域存储库的引用，我是否应该有两个存储库，一个用于经过身份验证（因此公开）的实体，另一个用于未经身份验证的用户 - 甚至可能是两个不同的实体？