analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO IV - La sicurezza nelle web applications
Esse sono state costruite principalmente per disaccoppiare quello che è il mondo dei controlli e
quindi la possibilità di gestire in maniera interattiva il controllo sulla gestione dell’utente e dei
ruoli. Per fare questo abbiamo un meccanismo, chiamato provider model, il quale, pluggando
un nuovo provider, a prescindere dall’applicazione che utilizza le membership e le roles,
automaticamente fornisce un nuovo modo di registrare le credenziali e i ruoli.
Il Provider Model è un design pattern che può essere considerato come l’uso congiunto di altri
pattern già definiti, dove lo Strategy Pattern, che appartiene alla famiglia dei pattern GOF
(Gang of Four), è sicuramente quello che si nota con maggior facilità: si basa sulla creazione di
una famiglia di algoritmi, incapsulati e resi intercambiabili tra di loro, richiamati in maniera
indipendente dal contesto.
Il vantaggio di questo approccio è che cambiando il provider non è necessario cambiare il
codice che richiama le API, che è poi l’unica interfaccia utilizzata dalle applicazioni. Nel caso
di Asp.NET, il provider è specificato attraverso il web.config e caricato, attraverso
un’operazione di Dependency Injection, quando le API hanno bisogno di fornire una
determinata funzionalità. Con questo modello qualsiasi sviluppatore può creare un provider,
dato che le API rappresentano un ponte verso il provider, che è l’effettivo componente che
fornisce l’implementazione concreta, avendo al tempo stesso il medesimo approccio, garantito
dall’utilizzo di una classe astratta come base comune per queste classi.
È possibile scrivere custom Providers (sono disponibili per Oracle, MySQL).
1. MEMBERSHIP API
Le Membership API rappresentano il primo modo per mettere in pratica, al tempo stesso, i
concetti propri del Provider Model e quelli dell’autorizzazione integrata in Asp.NET, attraverso
gli HttpModule.
Esse gestiscono utenti e credenziali, fornendo la logica per validare gli utenti e le password,
creare nuovi utenti ed altro ancora; inoltre gestiscono lo store per le credenziali, indirizzi e-mail
e altri dati relativi all’utente. Si tratta di una serie di funzionalità che forniscono l’infrastruttura
comune a tutti i provider, in grado di garantire un’uniformità di creazione della parte di
79