Сделал форм и хочу чтобы только пользователь смог увидеть свой

Question

Сделал форм и хочу чтобы только пользователь смог увидеть свой

бронировании ( не сделал рол админа). Для того чтобы получить все бронирования я отправлю только ид пользователя.
Как защитить с помощью identity данные пользователя?

#backend #dot #programming #russian

0

26.07.2023

15 ответов

11 просмотров

Easy Rider Lord

Дмитрий Алексеев
Не нужно отправлять ИД пользователя, он должен быт...

каким образом он их получит?

0

26.07.2023

Дмитрий Алексеев

Easy Rider Lord
каким образом он их получит?

Кто?

0

26.07.2023

Phantom

Easy Rider Lord
каким образом он их получит?

При авторизации?

0

26.07.2023

Слава

Easy Rider Lord
каким образом он их получит?

Из JWT

0

26.07.2023

Vik Автор вопроса

Дмитрий Алексеев
Не нужно отправлять ИД пользователя, он должен быт...

Да, только что узнал, надо как-то с помощью jwt tokens Однако я должен отправить token в бек энд как параметр к моей функций и оттуда взять данные?

0

26.07.2023

Слава

Vik
Да, только что узнал, надо как-то с помощью jwt to...

Токен отправляется в заголовке каждого запроса от фронта к бэку (или от бэка к другому бэку)

0

26.07.2023

Дмитрий Алексеев

Vik
Да, только что узнал, надо как-то с помощью jwt to...

Совать токен как параметр метода и руками его там потрошить конечно можно, но совсем уж дико, для этого и есть встроенные механизнмы типа Идентити, он сам это делает, и дает возможность получить текущего пользователя согласно вашему методу авторизации, читайте статьи по нему, описывать тут слишком много.

0

26.07.2023

Vik Автор вопроса

Дмитрий Алексеев
Совать токен как параметр метода и руками его там ...

Можешь отправить какую именно?

0

26.07.2023

Easy Rider Lord

Дмитрий Алексеев
Кто?

злоумышленник получит как какие-то данные по иду юзера или иду еще чего-то? ему просто бек не отдаст ничего конфединциального если злоумышленник не авторизован

0

26.07.2023

Дмитрий Алексеев

Vik
Можешь отправить какую именно?

Например эту https://learn.microsoft.com/en-us/aspnet/core/security/authentication/identity?view=aspnetcore-7.0&tabs=visual-studio

0

26.07.2023

Дмитрий Алексеев

Easy Rider Lord
злоумышленник получит как какие-то данные по иду ю...

Не пишите фигню, у человека вообще нет авторизации, он просто по ИД юзера получает данные, об этом я ему и сказал что так делать не стоит, это небезопасно.

0

26.07.2023

Вадим Комиссаров 🐯

Vik
Да, только что узнал, надо как-то с помощью jwt to...

токен отправляется в заголовке Authorization ASP.NET Core автоматически преобразует токен в ClaimsPrincipal, он доступен в контроллере как свойство User у HttpContext, то есть — public async Task<IActionResult> GetUser() { var user = HttpContext.User; } из user.Claims, например с помощью linq, можно достать все необходимые тебе клеймы которые были в токене при его создании и отправке на фронт

0

26.07.2023

Denisio 🇬🇪

Вадим Комиссаров 🐯
токен отправляется в заголовке Authorization ASP....

там надо ещо не забыть что в AddAuthentication надо задать что дефолтная схема не куки а JWT

0

26.07.2023

Вадим Комиссаров 🐯

Denisio 🇬🇪
там надо ещо не забыть что в AddAuthentication над...

ага, это так ну это если Cookie вообще добавлена, тут мне из контекста непонятно, одна у него схема или несколько

0

26.07.2023

Дмитрий Алексеев · Accepted Answer

Дмитрий Алексеев

Не нужно отправлять ИД пользователя, он должен быть получен из механизма авторизации, на сервере, а иначе любой злоумышленник может получить конфиденциальные данные просто зная и отправляя ИД пользователя.

0

26.07.2023

170 похожих чатов

Сделал форм и хочу чтобы только пользователь смог увидеть свой

15 ответов

Похожие вопросы