如果有的话，什么设计模式在实现基于用户的记录级权限方面有用？

Question

我正在使用 ASP.NET MVC 和使用 Repository 模式进行数据访问的实体框架来实现 Web 应用程序。此应用程序将有几个不相关的用户创建对象。每个用户都应该只能访问他们自己的对象。

是否有任何模式或内置 EF 功能提供一种方法来确保用户只能访问自己的记录？

我目前正在考虑向所有私有域对象添加一个 owner 字段，并实现一个对 DB 的所有查询都必须通过的类。此类将确定被查询的域对象是否是私有的。如果是这样，这个类将在 owner 上附加一个过滤器到查询中。这听起来合理吗？

Answer 1

您问题的第二部分与Repository Pattern 的描述非常接近。这种方法可用于通过强制插入用户特定的过滤器来解决逐条记录的访问问题。

这种方法将您的客户端业务逻辑与基于行的安全性实现分离：如果您以后决定更改实现逐条记录访问的方式，您只需修改所有内容是您的存储库实现。客户端甚至不需要重新编译。

EF 将所有业务实体的存储库定义为部分类。您可以在其上添加一个接口（在单独的文件中），并使用 EF 生成的方法实现存储库的方法：

IMyRepository {
    IQueryable<ClientOrder> Orders;
    IQueryable<ServiceIssue> Issues;
}

// The other part of MyRepository is EF-generated.
// Assume that EF provides properties these properties:
// - ObjectSet<ClientOrder> AllOrders 
// - ObjectSet<ServiceIssue> AllIssues 
public partial SecureRepository : IMyRepository {
    private readonly Guid userId;
    public SecureRepository(Guid userId) : this() {
        this.userId = userId;
    }
    public IQueryable<ClientOrder> Orders {
        get {
            return AllOrders.Where(ord => ord.UserId == userId);
        }
    }
    public IQueryable<ServiceIssue> Issues {
        get {
            return AllIssues.Where(csi => csi.UserId == userId);
        }
    }
}

您可以添加写入方法，在将订单和问题保存到数据库之前设置UserId。