Я постараюсь сделать этот пост коротким и сразу перейду к серьезности ситуации. Наше приложение имеет понятие «Организации», которые состоят из «Членов». Недавно мы обнаружили огромный недостаток безопасности в нашем приложении. Если Участник, который не принадлежит указанной Организации c (но вошел в приложение), получает доступ к URL-адресу любой из страниц этой Организации, он / она может получить доступ к этой странице.
Есть ли что-то встроенное в. NET Core 3.0 или Web API, которое позволило бы нам запретить пользователям получать доступ к страницам организации, членом которых он не является? Единственный способ, которым я могу думать, это проверить, принадлежит ли Участник (на основе его MemberId) Организации (на основе OrganizationId). Однако эта проверка должна быть добавлена к каждому контроллеру API. Там должен быть лучший способ! Любая помощь приветствуется ...