Controle de acesso por fun��es no ASP.NET

Quando se desenvolve sistemas voltados para a web, uma das maiores preocupaç�es dos desenvolvedores �, sem d�vida, a garantia da segurança da aplicaç�o. Muitas vezes � necess�rio negar ou permitir acesso a certas p�ginas para determinados usu�rios, e fazer esta verificaç�o de permiss�o em cada p�gina ou em cada item do menu pode ser um tanto trabalhoso.

Para tornar poss�vel este controle de acesso, o ASP.NET fornece um recurso bastante poderoso e de f�cil utilizaç�o chamado MemberShip. Por�m, n�o � o objetivo deste artigo explicar este recurso de maneira aprofundada. Explicarei aqui como controlar o acesso � p�ginas e a itens do menu de acordo com a funç�o do usu�rio logado no sistema, configurando o web.config e utilizando sitemap.

Para iniciarmos, devemos criar um novo site ASP.NET atrav�s do menu File > New > Web Site no Visual Studio e selecionar a opç�o �ASP.NET Web Site�. Uma vez criado o projeto, observe que existe uma pasta chamada Account que cont�m algumas p�ginas que podem ser usadas para realizar o cadastro de usu�rios, alteraç�o de senha e login. Todo esse processo � gerenciado pelo ASP.NET, para maiores detalhes sobre o funcionamento, sugiro uma pesquisa sobre o tema.

Criando usu�rios

Para que possamos implementar o controle de acesso, � preciso que existam usu�rios para realizar login no site. Para isso, podemos executar nosso projeto e cadastrar alguns usu�rios para teste.

Na p�gina inicial, no canto superior direito, clique em �Log In� para se redirecionado � p�gina de login. Uma vez estando nessa p�gina, ser� dada a opç�o de realizar login no sistema ou criar uma nova conta, clicando no link �Register�, como mostra a Figura 1.

Figura 1: Opç�o Register para criar nova conta

A p�gina de registro � de f�cil utilizaç�o e dispensa maiores explicaç�es. Crie ent�o um usu�rio com o User Name �gerente�. Feito isso, repita o processo e crie outro usu�rio, dessa vez com User Name �vendedor�. Sugiro utilizar os nomes indicados para que possa acompanhar o artigo de forma mais segura.

Criando e atribuindo funç�es

Agora voc� pode fechar a p�gina do site e interromper a execuç�o a partir do Visual Studio. J� na IDE, acesse o menu Website > ASP.NET Configuration. Ser� aberta a p�gina de administraç�o do site, gerenciada pelo pr�prio ASP.NET.

Na primeira p�gina, clique na opç�o �Security�. Na p�gina que se abrir�, clique na opç�o �Enable Roles�. Surgir� ent�o a opç�o �Create or Manage Roles�, clique nela para definir as funç�es dos usu�rios.

A p�gina exibida � mostrada na Figura 2.

Figura 2: Criaç�o de nova funç�o

Neste momento, criaremos duas funç�es: Gerente e Vendedor (os nomes poderiam ser outros, utilizareis estes para melhor assimilar aos usu�rios). Para isso, basta informar o nome da funç�o e clicar no bot�o �Add Role�.

Tendo criado as duas funç�es, volte � p�gina Security clicando na aba de mesmo nome. Clique ent�o em �Manage Users�, conforme mostra a Figura 3.

Figura 3: Opç�o Manage Users

Agora iremos atribuir funç�es aos usu�rios, como se pode imaginar, os usu�rios ser�o ligados � funç�o hom�nima.

Clique ent�o na popçao �Edit Roles� do primeiro usu�rio, como mostra a Figura 4.

Figura 4: Editar as funç�es do usu�rio

Como podemos ver na Figura 5, � poss�vel ligar um usu�rio a mais de uma funç�o. Por�m, para os fins deste artigo, definiremos apenas uma funç�o para cada usu�rio.

Figura 5: Atribuiç�o de funç�es

Preparando a estrutura do site

Montaremos uma estrutura simples, mas que permitir� aplicar e compreender os conceitos e funcionalidades que ser�o apresentados a partir deste ponto.

Clicando com a direita sobre o projeto no Solution Explorer, selecione a opç�o �New Folder� e crie duas pastas: Produtos e Vendas. Clicando com a direita sobre a pasta Vendas, v� at� a opç�o �Add New Item� e adicione dois novos formul�rios: NovaVenda.aspx e AlterarVenda.aspx. Repita o processo na pasta Produtos e crie os formul�rios Consulta.aspx e Cadastro.aspx. Por �ltimo, adicione um novo formul�rio de nome Relatorios.aspx na raiz do site, ou seja, fora de qualquer pasta.

Ao fim destes passos, a estrutura do site deve estar como na Figura 6.

Figura 6: Estrutura do site

Agora clique com a direita novamente sobre a raiz do projeto e, em seguida, na opç�o Add New Item. Selecione o item Sitemap e mantenha o nome Web.Sitemap.

Substitua o conte�do do sitemap pelo conte�do da Listagem 1, onde � montada estrutura do menu que d� acesso �s v�rias p�ginas do sistema.

Listagem 1: Conte�do do Web.sitemap

<?xml version="1.0" encoding="utf-8" ?>
<siteMap xmlns="http://schemas.microsoft.com/AspNet/SiteMap-File-1.0" >
    <siteMapNode url="" title=""  description="">
        <siteMapNode url="~/Default.aspx" title="Principal"  description="P�gina Principal" />
        <siteMapNode url="" title="Produtos"  description="" >
          <siteMapNode url="~/Produtos/Consulta.aspx" title="Consulta"  description="Consultar Produtos" />
          <siteMapNode url="~/Produtos/Cadastro.aspx" title="Cadastro"  description="Cadastrar Produtos" />
        </siteMapNode>
        <siteMapNode url="" title="Vendas"  description="" >
          <siteMapNode url="~/Vendas/NovaVenda.aspx" title="Nova Venda"  description="Nova Venda" />
          <siteMapNode url="~/Vendas/AlterarVenda.aspx" title="Alteraç�o"  description="Altrar Venda" />
        </siteMapNode>
        <siteMapNode url="~/Relatorios.aspx" title="Relat�rios"  description="Relat�rios Gerenciais"/>
    </siteMapNode>
</siteMap>

Em seguida, abra a MasterPage do site e selecione o menu principal, onde constam os itens Home e About. Clique na smart tag, e em seguida na opç�o �Chose Data Source�, selecione �New data source�.

Figura 7: Selecionar DataSource para o menu

Na janela que ser� aberta, escolha o item Sitemap e clique em Ok. Ser� adicionado um SiteMapDataSource, selecione-o e marque a propriedade ShowStartingNode como false.

A apar�ncia do menu deve ficar como na Figura 8.

Figura 8: Apar�ncia do menu ap�s definiç�o do data soruce

Executando o projeto, veremos que temos acesso a todos os itens do menu. Trabalharemos ent�o para restringir o acesso �s p�ginas, assim, ao clicar nos itens do menu, o usu�rio que n�o tiver permiss�o ser� redirecionado para a p�gina anterior.

Gerenciando o acesso �s p�ginas

Abra o web.config do projeto e dentro da tag configuration insira o c�digo da Listagem 3.

Listagem 2: Gerenciando acesso � p�gina de Relat�rios

<location path="Relatorios.aspx">
    <system.web>
      <authorization>
        <deny users="?"/>
        <deny roles="Vendedor"/>
        <allow roles="Gerente"/>
      </authorization>
    </system.web>
</location>

Em seguida, clique com a direita sobre a pasta Produtos e em �Add New Item�. Selecione o item �Web Configuration File� e clique em Ok. No arquivo web.config da pasta Produtos, defina o seguinte conte�do.

Listagem 3: Gerenciando o acesso �s p�ginas da pasta Produtos

<?xml version="1.0"?>
<configuration>
  <location path="Consulta.aspx">
    <system.web>
      <authorization>
        <deny users="?"/>
        <allow roles="Gerente,Vendedor"/>
      </authorization>
    </system.web>
  </location>
  <location path="Cadastro.aspx">
    <system.web>
      <authorization>
        <deny users="?"/>
        <deny roles="Vendedor"/>
        <allow roles="Gerente"/>
      </authorization>
    </system.web>
  </location>
</configuration>

Para finalizar, repita o processo na pasta Vendas, mas utilizando o conte�do da Listagem 5.

Listagem 4: Gerenciando o acesso �s p�ginas da pasta Vendas

<?xml version="1.0"?>
<configuration>
  <location path="NovaVenda.aspx">
    <system.web>
      <authorization>
        <deny users="?"/>
        <allow roles="Gerente,Vendedor"/>
      </authorization>
    </system.web>
  </location>
  <location path="AlterarVenda.aspx">
    <system.web>
      <authorization>
        <deny users="?"/>
        <deny roles="Vendedor"/>
        <allow roles="Gerente"/>
      </authorization>
    </system.web>
  </location>
</configuration>

Agora voc� j� pode executar o projeto e tentar acessar os itens do menu. Caso voc� esteja logado com um usu�rio sem permiss�o, ser� levado � p�gina de login.

Alguns detalhes que merecem destaque nas listagens acima s�o listadas a seguir.

A propriedade allow define quais usu�rios ou funç�es ter�o acesso a esta p�gina.
A propriedade deny, por sua vez, nega o acesso � p�gina em quest�o.
O sinal de interrogaç�o utilizado indica que o acesso foi negado a usu�rios n�o registrados, ou seja, para o acesso an�nimo.
O sinal de asterisco indica que o acesso � p�gina foi negado ou permitido para todas as funç�es ou usu�rios.

Gerenciando o acesso ao menu

Nesse ponto j� conseguimos gerenciar o acesso �s p�ginas, mas os itens do menu que d�o acesso a elas continuam vis�veis. O ideal seria evitar que usu�rios n�o autorizados tivessem acesso ao menu.

Veremos o qu�o f�cil � realizar esta tarefa, realizando apenas algumas modificaç�es no Web.config do projeto e no sitemap.

Ent�o, no Web.config do projeto, adicione o seguinte c�digo dentro da tag System.Web.

Listagem 5: Definiç�o do SiteMapProvider

<siteMap defaultProvider="SiteMap1" enabled="true">
  <providers>
    <add name="SiteMap1"
      description="Default SiteMap provider."
      type="system.Web.XmlSiteMapProvider "
      siteMapFile="Web.sitemap"
      securityTrimmingEnabled="true" />
  </providers>
</siteMap>

Agora, no Web.sitemap, adicionaremos a propriedade roles aos itens, conforme mostra a Listagem 7.

Listagem 6: Novo conte�do do Web.sitemap

<?xml version="1.0" encoding="utf-8" ?>
<siteMap xmlns="http://schemas.microsoft.com/AspNet/SiteMap-File-1.0">
  <siteMapNode url="" title=""  description="" roles="*">
    <siteMapNode url="~/Default.aspx" title="Principal"  description="P�gina Principal" roles="*"/>
    <siteMapNode url="" title="Produtos"  description="" roles="Gerente,Vendedor">
      <siteMapNode url="~/Produtos/Consulta.aspx" title="Consulta"  description="Consultar Produtos" roles="Gerente,Vendedor"/>
      <siteMapNode url="~/Produtos/Cadastro.aspx" title="Cadastro"  description="Cadastrar Produtos" roles="Gerente"/>
    </siteMapNode>
    <siteMapNode url="" title="Vendas"  description="" roles="Gerente,Vendedor">
      <siteMapNode url="~/Vendas/NovaVenda.aspx" title="Nova Venda"  description="Nova Venda" roles="Gerente,Vendedor"/>
      <siteMapNode url="~/Vendas/AlterarVenda.aspx" title="Alteraç�o"  description="Altrar Venda" roles="Gerente"/>
    </siteMapNode>
    <siteMapNode url="~/Relatorios.aspx" title="Relat�rios"  description="Relat�rios Gerenciais" roles="Gerente"/>
  </siteMapNode>
</siteMap>

Feito isso, salve e execute o projeto. Logo de in�cio, n�o estando logado, voc� s� ter� acesso ao item Principal cujo acesso � permitido a qualquer um que entre na p�gina. Faça login como vendedor e verifique que s� ter� acesso a alguns itens. Por fim, faça login como gerente para ter acesso a todos os itens do menu.

Conclus�o

Como vimos, gerenciar o acesso �s p�ginas e aos itens do menu no ASP.NET, de acordo com o usu�rio conectado e sua funç�o, n�o � uma tarefa dif�cil. O framework nos fornece recursos para tratar de forma pr�tica essa parte dos sistemas web.

O objetivo deste artigo foi mostrar, na pr�tica, como controlar o acesso pela funç�o dos usu�rios conectados. Sugiro ao leitor que tenha interesse, pesquisar sobre Membership e Security Trimming no ASP.NET para aprimorar seus conhecimentos a respeito do tema.

Grato pela atenç�o, finalizo aqui este artigo. At� a pr�xima.