POCO +具有存储库模式的实体框架 - 权限处理

Question

我有一个由 3 层组成的应用程序：
UI：在 ASP.NET MVC 中实现
业务：掌握业务逻辑和资源访问控制
存储库（DAL）：使用 POCO 对象和 EF 实现，使用存储库模式。我的 POCO 对象与上层共享。

我对 POCO 应该具备哪些信息/方法有疑问？ 即：如果我有一个 User 表，其中包含用户的用户名和密码，我的 POCO 应该有什么？我应该如何验证密码？我的 POCO 是否应该有一个方法来请求存储库进行验证？

另外，我应该如何控制对我的资源的访问？我的存储库是否应该控制谁可以访问资源，谁不能访问资源？这仍然允许我的 POCO 通过导航属性公开信息。我是否应该检查 POCO propoertise 当前用户是否也可以使用它们？

提前致谢。

Answer 1

我有一个类似的项目，我可以向您提供一些有关我如何执行类似操作的详细信息。我假设您的整个解决方案是基于 .Net 的。

POCO（普通旧 CLR 对象）就是没有业务逻辑的对象。因此，密码验证不应直接在该类中进行，而应在业务层中进行。例如，UI会调用控制器操作将数据提交到业务层（BL），BL将通过调用存储库来执行用户密码验证以获取当前存储/加密的密码，BL将比较密码并返回将结果发送到您的 UI 或采取其他操作。当然，所有数据都应该经过验证，以防止 SQL 注入或跨站点脚本攻击等情况。

您的 POCO 可以具有 Uid/Pwd 属性。您应该在应用程序层之间传递此 POCO 对象。因此，MVC UI 将绑定到您的用户对象，并且在提交时控制器将调用 BL 中的某些方法并在该用户对象上执行业务规则（密码有效）。为了在实际层之间传递这些内容，您需要从主 DAL 中提取这些 POCO 并将它们放置在单独的程序集中。这些对象通常称为域对象，您可以通过谷歌搜索域驱动开发来获取有关该方法的更多信息。

安全性可以在应用程序中以多种不同的方式实现，这完全取决于您想要涵盖的项目的深度。 MVC 中最基本的是在控制器类上使用 Authorize 属性（google：保护您的控制器操作）。当您的用户通过身份验证后，可以为他们分配某种类型的应用程序角色，您可以使用以下格式验证用户是否具有这些角色之一：

[Authorize(Roles = "ModifyUserRoles")]
        public ActionResult About()
        {
}

Answer 2

如果您的上下文返回用户对象，则选择将“验证”密码：

public User GetUser(string login, string password)
{
//...code to set up context var...
var user = (from o in context.Users.OfType<User>() where o.UserID == login && o.Password == password) select o).FirstOrDefault();
//...maybe more code...
}

应该由您的业务层决定如何加密密码以及如何处理失败的登录（方法返回 null）。

就我个人而言，我认为 DAL 中不应该包含任何业务逻辑。确定谁有权访问什么功能最好由业务层执行，但您可以禁用延迟加载并仅包含基于用户的导航属性，或者您可以在需要时对这些属性发出额外请求。返回的数据量和类型（出于性能原因）将推动该决策。

Answer 3

我认为并不总是需要通过层传递你的 POCO 对象（域对象），例如在你的情况下，视图层只需要一个简单的视图模型，只有用户名和密码属性并将其传递给 BL，它是您的 BL 将通过存储库获取用户域对象，并根据从视图层收到的内容验证密码。