Trong bài biết này chúng ta sẽ tìm hiểu về Policy-Based Authorization trong ASP .NET Core. Ở bài viết trước chúng ta đã tìm hiểu Claims-Based Authorization trong ASP .NET Core. Chúng ta có thể tạo ra những Policies đơn giản đủ để xác thực người dùng trong hầu hết các trường hợp. Nhưng đôi lúc có những tình huống đòi hỏi việc xác thực có đôi chút phức tạp hơn, điều kiện yêu cầu nhiều hơn thì hãy nghĩ ngay đến việc dùng Policy-Based Authorization.

Authorization Policy

    Authorization Policy chính là cốt lõi của ASP.NET Core Authorization Framework. Kể cả khi bạn sử dụng Claims-Based hoặc role-based authorization, thì bạn cũng đang sử dụng Policy-Based Authorization.

    Policy là tập hợp các yêu cầu mà người dùng cần phải thoải mãn để được xác thực quyền truy cập tài nguyên. Người dùng cần phải mãn tất cả yêu cầu của Policy.

    Chúng ta thêm Policy bằng cách gọi hàm AddAuthorization trong ConfigureServicesở lớp startup class

services.AddAuthorization(options =>
{
    options.AddPolicy("AdminOnly", policy => policy.RequireClaim("Admin"));
 
});

    Policies có thể đơn giản như việc gọi hàm RequireClaim của policy builder. Bạn có thể tạo những Policies phức tạp hơn trình bày phía dưới.

Policy đơn giản

    Ví dụ dưới đây là Authorization Policies đơn giản sử dụng claims và roles.

options.AddPolicy("AdminOnly", policy => policy.RequireClaim("Admin"));

Policy với nhiều Claims

    Bạn có thể nối nhiều Claims với nhau như dưới. SuperIT policy yêu cầu người dùng phải có Permission claim với giá trị IT claim. Người dùng phải thoải mãn cả 2 yêu cầu trên.

options.AddPolicy("SuperIT", 
        policy => policy.RequireClaim("Permission", "IT")
                        .RequireClaim("IT"));

Policy chỉ dành cho người dùng đã xác thực

    Policy này giống với cách sử dụng thằng Authorize attribute

options.AddPolicy("AuthUsers", policy => policy.RequireAuthenticatedUser());

Policy sử dụng Role

    Policy này yêu cầu Role người dùng có giá trị AdminRole

options.AddPolicy("AdminRole", policy => policy.RequireRole("AdminRole"));

Policy sử dụng User Name

    Giống với Role thì người dùng phải có giá trị UserName là Bob

options.AddPolicy("BobOnly", policy => policy.RequireUserName("Bob"));

Áp dụng Authorization Policy

    Chúng ta áp dụng Policy bằng cách gắn thằng Authorize attribute vào nơi bạn cần xác thực. Ví dụ ở dưới mình gắn AdminOnly policy vào thằng SomeSecureAction

[Authorize(Policy = "AdminOnly")]
public IActionResult SomeSecureAction()
{
    return View();
}

Tùy chỉnh Policy sử dụng Function

    Những Policies ở trên khá là đơn giản nhưng nếu chúng ta có yêu cầu việc xác thực phức tạp hơn thì chúng ta cần tạo ra 1 function và sử dụng nó trong RequireAssertion

    Custom lamda function này cần phải trả về true nếu Policy thoải mãn.

options.AddPolicy(
        "SuperUser",
        policyBuilder => policyBuilder.RequireAssertion(
            context => context.User.HasClaim(claim => claim.Type == "Admin")
                || context.User.HasClaim(claim => claim.Type == "IT")
                || context.User.IsInRole("CEO"))
    );

Tùy chỉnh Policy sử dụng requirements và handlers

    Chúng ta có thể tùy chỉnh Policy bằng cách sử dụng Authorization Requirement và Authorization Handler

Authorization Requirement

    Authorization Requirement định nghĩa một tập hợp các yêu cầu để Policy đánh giá. Để xác thực thành công nó cần phải thoải mãn tất cả yêu cầu trên. Hình dung thì nó giống AND condition. Nếu 1 trong những yêu cầu sai thì sai hết vậy đó. Hình bên dưới minh họa minh họa cấu trúc Policy sử dụng Requirements.

Authorization Handler

    Authorization Handler là nơi chưa những logic, những phép tính toán để kiểm tra xem các yêu cầu nó có hợp lệ hay không. Như hình phía trên thì 1 yêu cầu nó có thể có nhiều hơn 1 handler. Authorization Handler có thể trả về 1 trong các giá trị sau:

1. Fail
2. Succeced
3. Do Nothing

    Nếu một trong những handlers trả về Fail thì yêu cầu đó sai ngay lập tức. Còn nếu không có handler nào trả về Fail nhưng có ít nhất 1 handler trả về Success thì yêu cầu đó thoải mãn. Nếu như không có handler nào trả kết quả về thì cũng coi như yêu cầu đó sai luôn.

    Bây giờ thì chúng ta cùng làm cái ví dụ cho dễ hiểu

Ví dụ Requirement & Requirement handler

    Khi sếp yêu cầu 1 chức năng là thêm quyền tạo sản phẩm cho những người dùng thỏa mãn như yêu cầu sau đây

1. Người dùng là nhân viên công ty mình. Có nghĩa là phải có Employee Claim
2. Người dùng là một khác hàng VIP. Có nghĩa mang VIP Claim
3. Nhưng người dùng này không được cấp phép nữa nếu có những đánh giá xấu. Có nghĩa mang Disable Claim

    Những yêu cầu trên tạo thành 1 Policy. Chúng ta gọi nó là canManageProduct Policy Vì có 3 yêu cầu thì mình tạo ra 3 handler cho tụi nó.

1. IsEmployeeHandler
2. IsVIPCustomerHandler
3. IsAccountNotDisabledHandler

    Thật ra chúng ta có thể tạo 1 handler và dùng nó để kiểm tra cho các yêu cầu trên luôn nhưng trong dự án thực tế thì tốt nhất chia ra vậy cho dễ quản lí cũng như có thể tái sử dụng cho những yêu cầu khác.

    Có thể thấy rằng nếu IsEmployeeHandler hoặc IsVIPCustomerHandler trả về true thì người dùng sẽ được cấp quyền. Nhưng một khi IsAccountNotDisabledHandler trả về true thì người dùng coi như mấy quyền và hiển nhiên điều kiện trả về false luôn

• IsAllowedToManageProductRequirement
  • IsEmployeeHandler returns sucess else nothing
  • IsVIPCustomerHandler returns sucess else nothing
  • IsAccountNotDisabledHandler returns fail else nothing

    Một cách nữa để biểu diễn điều kiện này là tạo ra 2 yêu cầu

• IsAllowedToManageProductRequirement
  • IsEmployeeHandler returns sucess else nothing
  • IsVIPCustomerHandler returns sucess else nothing
• IsAccountEnabledRequirement
  • IsAccountNotDisabledHandler returns true else nothing

    Trong yêu cầu thứ hai, chúng ta có thể tạo Policy khác dành riêng cho nó. Chúng ta tạo ra 1 dự án sử dụng identity, ASP .NET cung cấp sẵn tất cả những thứ cần thiết cho việc xác thực ban đầu rồi.

Authorization Requirement

    Tạo 1 folder Authorization ngay dưới solution, ngay dưới nó tạo ra lớp IsAllowedToEditProductRequirement

    Tất cả những Requirement cần phải implement thằng IAuthorizationRequirement trong Microsoft.AspNetCore.Authorization namespace. IAuthorizationRequirement không chứa bất cứ hàm hay thuộc tính nào nên chúng ta không cần phải implement gì hết.

using Microsoft.AspNetCore.Authorization;
 
namespace AuthzExample.Authorization
{
    public class IsAccountEnabledRequirement : IAuthorizationRequirement
    {
    }
}

    Nếu Requirement cần nhận input nào thì chỉ việc truyền nó qua constructor là được.

    Làm tương tự với lớpIsAccountEnabledRequirement

using Microsoft.AspNetCore.Authorization;
 
namespace AuthzExample.Authorization
{
    public class IsAllowedToManageProductRequirement : IAuthorizationRequirement
    {
    }
}

Tạo Authorization Handlers

    Giống với Requirements thì mọi Handlers cần được implement từ AuthorizationHandler. Nó có 1 hàm là HandleRequirementAsync mà chúng ta sẽ phải implement.

    Chúng ta sẽ nhận 1 object Context và 1 Requirement cần được xử lí. Context này nó có chứa lớp User(ClaimPrincipal), chúng ta dùng nó để làm việc với Claim

protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, 
                                                IsAllowedToEditProductRequirement requirement)
{
    throw new System.NotImplementedException();
}

    Nếu người dùng thỏa mãn yêu cầu thì handler sẽ gọi hàm context.Succeed trước khỉ trả về, còn nếu người dùng không thỏa mãn thì sẽ gọi context.Fail().

    Tất cả Handlers giống nhau về bản chất. Chúng có thể truy cập lớp User từ lớp Context và check các Claim

using Microsoft.AspNetCore.Authorization;
using System.Threading.Tasks;
 
namespace AuthzExample.Authorization
{
    public class IsEmployeeHandler : AuthorizationHandler<IsAllowedToManageProductRequirement>
    {
        protected override Task HandleRequirementAsync(AuthorizationHandlerContext context,
                                                       IsAllowedToManageProductRequirement requirement)
        {
            if (context.User.HasClaim(f => f.Type == "Employee")) 
            { 
                context.Succeed(requirement); 
            }
            return Task.CompletedTask;
        }
    }
}

 
using Microsoft.AspNetCore.Authorization;
using System.Linq;
using System.Threading.Tasks;
 
namespace AuthzExample.Authorization
{
    public class IsVIPCustomerHandler : AuthorizationHandler<IsAllowedToManageProductRequirement>
    {
        protected override Task HandleRequirementAsync(AuthorizationHandlerContext context,
                                                       IsAllowedToManageProductRequirement requirement)
        {
            if (context.User.HasClaim(f => f.Type == "VIP"))
            {
                context.Succeed(requirement);
            }
 
            return Task.CompletedTask;
        }
    }
}

using Microsoft.AspNetCore.Authorization;
using System.Linq;
using System.Threading.Tasks;
 
namespace AuthzExample.Authorization
{
    public class IsAccountNotDisabledHandler : AuthorizationHandler<IsAccountEnabledRequirement>
    {
        protected override Task HandleRequirementAsync(AuthorizationHandlerContext context,
                                                       IsAccountEnabledRequirement requirement)
        {
            if (context.User.HasClaim(f => f.Type == "Disabled"))
            {
                context.Fail(); 
            } else
            {
                context.Succeed(requirement);
            }
            return Task.CompletedTask;
        }
    }
}

Inject các Handler

    Bước tiếp theo chúng ta inject các handlers vào trong DI.

services.AddSingleton<IAuthorizationHandler, IsAccountNotDisabledHandler>();
services.AddSingleton<IAuthorizationHandler, IsEmployeeHandler>();
services.AddSingleton<IAuthorizationHandler, IsVIPCustomerHandler>();

Tạo Policy theo Requirement

    Cuối cùng tạo policy canManageProduct sử dụng Requirement

services.AddAuthorization(options =>
{
    options.AddPolicy("canManageProduct", 
        policyBuilder => 
            policyBuilder.AddRequirements(
                new IsAccountEnabledRequirement(), 
                new IsAllowedToManageProductRequirement()
            ));
});

Áp dụng Policy

    Áp dụng Policy này vào bất cứ Controller hay nơi nào cần xác thực bằng cách sử dụng Authorize atttribute

namespace AuthzExample.Controllers
{
    [Authorize(Policy = "canManageProduct")]
    public class MVCProductsController : Controller

Kiểm tra hoạt động

    Thử tạo product mới, bạn sẽ thấy trang bị từ chối Quyền truy cập.

    Thêm Yêu cầu của Nhân viên, đăng xuất và đăng nhập. Bây giờ bạn sẽ có thể tạo một sản phẩm mới

    Thêm Xác nhận quyền sở hữu, đăng xuất và đăng nhập bị vô hiệu hóa. Bây giờ, bạn sẽ thấy trang bị từ chối Quyền truy cập trong khi tạo product mới