Programación de Aplicaciones Visuales II Ejercicio Paso a Paso: Aplicación para HelpDesk

Transcripción

1 Programación de Aplicaciones Visuales II Objetivos del Ejercicio: realizar un proceso por pasos y en varias etapas que permita al lector construir una aplicación basada en datos utilizando ASP.NET. Algunas consideraciones: el ejercicio pretende ser una primera guía para integrar una serie de conceptos y elementos del lenguaje C# y el entorno ASP.NET en un caso práctico con objetivos concretos. Con la finalidad de que sea sencilla no se han tenido en cuenta elementos arquitecturales, de performance y, en algunos casos, de buenas prácticas. A veces esto se aclara mediante una nota. Pero queda a cargo del lector profundizar sobre los aspectos mencionados. Software y datos necesarios: Microsoft Visual Studio 2005 Microsoft.NET Framework SDK v2.0 Los sscripts para la base de datos: HelpdeskTables.sql y HelpDeskData.sql Errores, sugerencias: Todos los errores que detecte o sugerencias que estén dentro del objetivo de la presente guía enviarlos a: mecheverria@sistemas.frc.utn.edu.ar Página 1

2 Etapa 6 Agregar seguridad a la aplicación: permitiendo a cada usuario el acceso a los recursos y operaciones de acuerdo a los roles que tengan asignados. Proceso: 1. Abrir Visual Studio y abrir el sitio web: Helpdesk 2. El primer paso será configurar el tipo de autenticación que vamos a utilizar en el archivo Web.config de la aplicación. <authentication mode="forms"> <forms loginurl="login.aspx" name=".helpdesk" timeout="60" protection="all" path="/"> </forms> </authentication> Tenga en cuenta que esto debe reemplazar a la definición por defecto de la configuración que es <authentication mode="windows"/> 3. A continuación definiremos una sección de autorización inicial, definiendo que solo tienen acceso a los recursos aquellos usuarios que están autenticados, o en otros terminos, estamos denegando el acceso a los usuarios anónimos. <authorization> <deny users="?" /> </authorization> Si en este momento accede a la aplicación, podrá comprobar que sea cual sea la página que usted invoque, siempre será redirigido a la página Login.aspx, si existe esta página o será exhibido un error de página no encontrada si aún no ha creado el formulario Login.aspx 4. Como anticipamos en el paso anterior ahora crearemos un formulario web llamado Login.aspx. Agregaremos a la página los siguientes controles convenientemente dispuestos: Un textbox: txtusuario Un textbox: txtpassword, tenga la precaución de setear la propiedad Textmode = Password Un boton: btnlogin Un label: lblmensaje Además puede agregar los controles de validación necesarios para controlar que ninguno de las dos entradas esté vacía en el momento de presionar el botón. Página 2

3 5. Vamos a agregar una clase que podemos llamar Seguridad y que tendrá inicialmente dos métodos estáticos: ValidarUsuario que devolverá true en el caso de que la combinación usuario+password exista en la tabla usuarios y ObtenerRoles que devuelve la lista de roles asignados a ese usuario separados por " " Usted deberá implementar estos métodos accediendo a la base de datos. public static bool ValidarUsuario(string usuario, string password) //TODO: Implementar //Devuelve verdadero si existe una fila con el nombre de usuario + password ingresados como parámetros public static string ObtenerRoles(string usuario) //TODO: Implementar //Devuelve la lista de roles separada por 6. Una vez que están implementados estos métodos escribiremos el código necesario para crear el ticket de autorización en el formulario de Login, cuando el usuario presiona el botón Login try //Si el usuario está autenticado? if (Seguridad.ValidarUsuario(txtUsuario.Text, txtpassword.text)) //Obtiene un string con todos los roles string roles = Seguridad.ObtenerRoles(txtUsuario.Text); Página 3

4 //Crear un ticket de autenticación FormsAuthenticationTicket autticket = new FormsAuthenticationTicket(1, txtusuario.text, DateTime.Now, DateTime.Now.AddMinutes(60), false, roles); //Encriptar el ticket string encrticket = FormsAuthentication.Encrypt(autTicket); // Crea una cookie con el ticket encriptado HttpCookie autcookie = new HttpCookie(".Helpdesk", encrticket); // Agrega la cookie a la Response Response.Cookies.Add(autCookie); // Redirecciona al usuario a la página que solicitó originalment Response.Redirect(FormsAuthentication.GetRedirectUrl(txtUsuario.Text, false)); else lblmensaje.text = "No tiene autorización para ingresar al sistema"; catch (Exception ex) lblmensaje.text = "Ocurrió un error: " + ex.message; 7. Por último debemos reconstruir el objeto principal en cada petición a partir de la información almacenada en la cookie. Haremos esto en el evento Application_AuthenticateRequest del archivo Global.asax, por lo tanto si no existe, debemos agregar el archivo Global.asax a la aplicación y el código que a continuación se detalla: protected void Application_AuthenticateRequest(object sender, EventArgs e) // Recupera la cookie HttpCookie authcookie = Context.Request.Cookies["testseguridad"]; if (null == authcookie) // Si no existe termina return; FormsAuthenticationTicket autticket = null; try autticket = FormsAuthentication.Decrypt(authCookie.Value); catch (Exception ex) return; if (null == autticket) Página 4

5 // No se pudo desencriptar return; // Separo los roles String[] roles = autticket.userdata.split(new char[] ' ' ); // Creo un objeto Identity y lo vinculo al Context GenericIdentity id = new GenericIdentity(autTicket.Name, "testseguridad"); GenericPrincipal principal = new GenericPrincipal(id, roles); Context.User = principal; Ademas debe incluir en la cabecera del Global.asax <%@ Import Namespace="System.Web.Security" %> <%@ Import Namespace="System.Security.Principal" %> 8. Con esto podemos utilizar la información de seguridad para autorizar el acceso a los recursos y operaciones a. Podemos autorizar/denegar el acceso a las páginas especificando en el archivo Web.config <location path="paginadministrador.aspx"> <system.web> <authorization> <allow roles="admin" /> <deny users="*" /> </authorization> </system.web> </location> b. Podemos tener acceso a la información del usuario Response.Write(HttpContext.Current.User.Identity.Name); c. Podemos autorizar o impedir una operación verificando si el usuario pertenece o no a determinado rol if (Page.User.IsInRole("ADMIN")) btnagregarincidente.visible = true; d. Podemos hacer visibles o no distintas opciones del menú de acuerdo a la pertenencia de un usuario a un rol. Para eso debemos agregar lo siguiente en archivo Web.config Página 5

6 <sitemap defaultprovider="xmlsitemapprovider" enabled="true"> <providers> <add name="xmlsitemapprovider" description="default SiteMap provider." type="system.web.xmlsitemapprovider" sitemapfile="web.sitemap" securitytrimmingenabled="true" /> </providers> </sitemap> Y además setear el atributo role en el mapa del sitio, por ejemplo: <sitemapnode url="~/default.aspx" title="inicio" description="inicio" roles="*"> <sitemapnode title="administracion" description="administracion" roles="admin"> 9. Por último debemos implementar la funcionalidad de Logout para permitirle al usuario cerrar la sesión: // Eliminar la cookie Context.Response.Cookies[".Helpdesk"].Expires = DateTime.Now; // Terminar la sesion FormsAuthentication.SignOut(); Response.Redirect("Login.aspx"); Página 6