Защитите свои веб-действия API от авторизованных пользователей

Question

У меня есть такой сценарий:

1 Пользователь - N Project

1 проект - N Задача

1 Project - N Комментарий

Когда пользователь что он может сделать:

/api/tasks/1 

, чтобы удалить его задачу, но когда он делает/api/задачи/2 он удаляет задачу кого-то другого

/api/comments/1 

, чтобы получить его комментарий, но когда он делает/API/комментарии/2 он читает задачу кого-то другого

Как я могу перехватить пользователя (манипулирование URI) и проверить общий способ, чтобы пользователь мог удалить эту задачу.

Задача и комментарий ничего не знают о пользователеId, так как может запретить пользователю удалять данные других людей?

Я не говорю о сценарии пользователя и ролей. Я говорю об управлении URI, чтобы удалить ресурсы, принадлежащие кому-то другому.

UPDATE ответить @A Khudairy`s вопрос

1) электронная почта + пароль отправляется апи.

2) Api возвращает пользователя с токеном пользователя.

3) Тогда при каждом запросе токен отправляется апи, (так что Iknow, которые пользователь делает то, что и справиться с этим в интерфейсе.)

Answer 1

ну я бы лично не решил это с помощью URI (я не думаю, что есть безопасный способ достичь этого). Я реализую настраиваемый фильтр авторизации. Обратитесь к этому link за помощью в том, как это сделать, если вы не знакомы с ним.

В фильтре я использовал бы токен, чтобы получить идентификатор пользователя, и использовать данные маршрута, чтобы узнать, какую процедуру пытается выполнить пользователь (и идентификатор задачи или комментария), а затем принять решение, если пользователь может продолжить основываясь на этом.

Фильтры могут быть зарегистрированы тогда поверх класса контроллера или только по каким-либо методам действий или из global.asax для всех действий, если это необходимо.

Answer 2

Звуки для меня, как вы либо будете иметь, чтобы добавить UserId для объектов Comment и Task, чтобы вы могли легко проверить или вам нужно будет убедиться, что задача или комментарий принадлежит проекту, к которому пользователь имеет доступ тоже?

Если я не понимаю ваш вопрос?

Если у задачи или комментария нет UserId, как вы собираетесь различать свои собственные комментарии и задачи и кого-то elses?