ASP.NET MVC e Identity: Autorização de usuários com claims

Neste curso partiremos de uma aplicação ASP.NET MVC, que já conta com o recurso de autenticação usando OWIN e Identity, e adicionaremos a ela a funcionalidade de autorização, realizando o controle de acesso por papéis (roles).

Antes de adicionar a funcionalidade de autorização, analisaremos a estrutura da aplicação atual, que já conta com um sistema de cadastro de usuários, login, logout e alteração de senha que foram desenvolvidos no curso de Autenticação no ASP.NET MVC.

Na nossa aplicação o controle de acesso se dará por tipos de usuário (Padrao e Administrador). Para representar essa informação criaremos um novo enum no projeto e modificaremos a classe Usuario para conter uma nova propriedade desse tipo.

Para que a mudança feita na classe Usuario seja refletida no banco de dados vamos usar o recurso de Migrations do Entity Framework, que nos permite atualizar a base a partir do Visual Studio, sem escrever scripts SQL diretamente.

Agora que os usuários possuem um tipo que define seus direitos dentro da aplicação, precisamos utilizar essa propriedade no login para que o cookie de autenticação passe a contemplar essa nova característica.

Para cada tipo de usuário devemos exibir um grupo de menus. Isso otimizará a navegação e evitará que usuários não autorizados acessem com facilidade páginas restritas apenas a administradores.

Uma vez que definimos os papéis (roles) de cada usuário, veremos como acessar essa informação dentro das actions e tomar decisões a partir disso, tais como exibir mensagens ou modificar o fluxo de processos.

Neste vídeo aprenderemos a utilizar o atributo Authorize para restringir o acesso a certas actions apenas a usuários com determinadas roles. Esse é um recurso padrão do ASP.NET MVC e portanto não precisaremos criar novas classes e métodos para isso.

O filtro padrão do ASP.NET MVC, quando impede o acesso a uma action, redireciona o usuário para a página de login. No entanto esse comportamento pode ser customizado por meio de um novo filtro de ação que substituirá o Authorize.

Veremos agora como utilizar o filtro de ação customizado que construímos no vídeo passado. Ele atuará de forma semelhante ao Authorize, porém trabalhará diretamente com o TipoUsuario, enum que define o papel de cada usuário no nosso sistema.