Autenticazione e autorizzazione con ASP.NET Core
Anche quando le tecnologie evolvono, alcuni temi restano sempre attuali come la sicurezza nelle applicazioni web. In passato ci siamo occupati di soluzioni come ASP.NET Identity (http://www.aspitalia.com/articoli/asp.net4.5.1/security-asp.net-mvc-identity.aspx) in merito alle funzionalità di login e membership nelle applicazioni ASP.NET. Quest'oggi rivisiteremo alcuni di questi concetti nel contesto di ASP.NET Core, e questo ci darà l'opportunità di esplorare alcune delle sue novità architetturali.
L'articolo si concentra in particolar modo sui temi di autenticazione e autorizzazione e sulla loro interazione all'interno della pipeline dei middleware di un'applicazione ASP.NET Core.
Autenticazione e autorizzazione: due responsabilità distinte
Iniziamo rispolverando le basi. Quando vogliamo consentire ad un utente di accedere ad un'area protetta di un sito web, ci sono due step operativi da superare.
- Autenticazione: Riconoscere l'utente in base alle credenziali (in chiaro o crittografate) che ha fornito insieme alla richiesta HTTP inviata al server;
- Autorizzazione: Determinare se tale utente (ormai riconosciuto) ha il privilegio di consultare la risorsa protetta e, in caso negativo, impedirgli l'accesso.
"Autenticare" significa sostanzialmente controllare se nella richiesta HTTP esistono credenziali valide e creare un oggetto ClaimsPrincipal contenente l'identità dell'utente. L'oggetto ClaimsPrincipal viene quindi allegato alla richiesta corrente e l'accompagna fino al suo completamento.
Per autenticarsi, un utente può fornire le proprie credenziali oppure inviare un titolo di riconoscimento rilasciato dall'applicazione, come un cookie di autenticazione, un token JWT o una API key (tra gli altri).
Come avremo modo di constatare, le modalità di autenticazione sono molteplici e diversificate per assecondare le tante modalità di utilizzo e i vari tipi di utente, come la persona fisica o l'applicazione di terze parti.
"Autorizzare" l'utente, per un'applicazione ASP.NET Core, significa invece esaminare la ClaimsPrincipal allegata alla richiesta corrente e determinare se essa possieda i privilegi necessari all'accesso alla risorsa desiderata.
L'identità è basata su claims
L'oggetto ClaimsPrincipal serve ad incapsulare una o più ClaimsIdentity che è concettualmente simile ad un qualsiasi documento di identità si trovi nel nostro portafogli. Proprio come un documento di identità, essa reca una serie di Claim che descrivono le caratteristiche dell'utente. Ogni Claim è una coppia chiave-valore come illustrato nell'immagine seguente.
Allegare Claim alla ClaimsIdentity è un buon modo per avere a portata di mano delle informazioni sull'utente che possono tornarci utili per prendere delle decisioni in vari punti dell'applicazione, senza che si debba necessariamente recuperare tali informazioni dal database. Ogni Claim descrive cosa l'utente è, anziché cosa può fare. Alcuni esempi sono:
- Il nome di battesimo, che tipicamente viene visualizzato all'utente nella parte alta del sito;
- I ruoli che gli sono stati assegnati che serviranno poi a decidere a quali aree avrà accesso;
- I contatti che l'applicazione userà per inviare comunicazioni;
- L' id usato all'interno del sistema, che verrà usato per filtrare i risultati di una query.
Contenuti dell'articolo
Commenti
Per inserire un commento, devi avere un account.
Fai il login e torna a questa pagina, oppure registrati alla nostra community.
Approfondimenti
Visualizzare le change sul plan di Terraform tramite le GitHub Actions
Hosting di componenti WebAssembly in un'applicazione Blazor static
Utilizzare Tailwind CSS all'interno di React: primi componenti
Installare le Web App site extension tramite una pipeline di Azure DevOps
Migliorare la sicurezza dei prompt con Azure AI Studio
Sostituire la GitHub Action di login su private registry
Implementare l'infinite scroll con QuickGrid in Blazor Server
Eseguire i worklow di GitHub su runner potenziati
Utilizzare gRPC su App Service di Azure
Effettuare il log delle chiamate a function di GPT in ASP.NET Web API
Aggiungere interattività lato server in Blazor 8
Sfruttare lo stream rendering per le pagine statiche di Blazor 8
Top Ten Articoli
- Realizzare una Progressive Web Application con Blazor e ASP.NET Core
di Giampaolo Tucci - Gestire le chiamate a servizi esterni in ASP.NET Core e Blazor tramite Polly
di Morgan Pizzini - Usare gRPC come infrastruttura per i nostri servizi web
di Morgan Pizzini - Abilitare e gestire il prerendering nelle applicazioni Blazor WebAssembly
di Marco De Sanctis - Creare API GraphQL con ASP.NET Core e HotChocolate
di Moreno Gentili - Le novità di Blazor in .NET 6.0
di Morgan Pizzini - Blazor e il pattern Model-View-ViewModel
di Giampaolo Tucci - Le novità in ASP.NET Core e Blazor con .NET 7
di Morgan Pizzini - Introduzione a Blazor WebAssembly
di Marco De Sanctis, Moreno Gentili - Le novità di ASP.NET Core 5
di Marco De Sanctis
Articoli via e-mail
Iscriviti alla nostra newsletter nuoviarticoli per ricevere via e-mail le notifiche!
In primo piano
I più letti di oggi
In evidenza
- Eseguire script pre e post esecuzione di un workflow di GitHub
- Creare una libreria CSS universale: Cards
- Migliorare l'organizzazione delle risorse con Azure Policy
- Effettuare il log delle chiamate a function di GPT in ASP.NET Web API
- Leggere la posta usando il protocollo IMAP tramite la libreria MailKit
- Eseguire una ricerca avanzata per recuperare le issue di GitHub
- Creare una libreria CSS universale: Clip-path
- Sfruttare gli embedding e la ricerca vettoriale con Azure SQL Database