Стою на пороге изобретения велосипеда
.Итак. Были БД (Firebird) и web-приложение (Mono). Для аутентификации были переопределены MembershipProvider и RoleProvider, для чего в БД созданы таблицы user, role, membership. Для ограничения пользователей в навигации использован Web.sitemap и соответствующие настрйки web.config. В целом все работало.
Но! Т.к. БД сложная (и важная), то вопрос разграничения прав между пользвателями является не тривиальной задачей (http://forum.vingrad.ru/forum/topic-308089/kw-asp-net-roleprovider-membershipprovider.html).
После долгих раздумий у меня появилось желание возложить задачу контроля прав на СУБД и "транслировать" его (контроль) на уровень web-приложения, т.е. отказаться от использования указанных таблиц user, role, membership, а воспользоваться предоставляемым СУБД сервисом (возможностью создавать пользователей и роли, а самое главное возможностью наделения ролей и пользователей правами).
MembershipProvider и RoleProvider для выполнения поставленной задачи я переписал.
При этом используется следующий сценарий при доступе:
1. Пользователь вводит в web-браузере имя и пароль;
2. От имени пользователя unknown выполняется хранимая процедура на сервере, которая проверяет наличие указанного пользователя;
3. Если указанный пользователь существует, то от его имени для него определяются доступные роли;
4. На основании доступных ролей и Web.sitemap для пользователя отображается соответствующие ссылки;
5. Пользователь осуществляет переход по разрешенным ссылкам используя необходимые для этого роли.
Пункты 1 - 4 реализовать мне удалось, но вот с пунктом 5 у меня возникла проблема. Дело в том, что для переходе по предоставленным ссылкам пользователь обращается к БД от своего имени с различными ролями и для этого необходимо создавать новые подключения, а значит необходимы имя пользователя и пароль имя пользователя я узнаю так:
| Код |
|
Роль я определяю по ссылке по которой переходи пользователь. Т.о. остается вопрос как определить пароль?
Вариантов я вижу несколько:
1. Постоянно переспрашивать у пользователя его пароль (ужас - меня найдут и побьют
);2. Хранить пароль на стороне клиента и при необходимости отправлять его на СУБД (не уверен, но, по моему, за такое тоже могут побить).
Посоветуйте как быть? И кто вообще что думает по изложенному вопросу?
Буду признателен за любой совет.
