標準的なロールベース認可は、ユーザーがアクションを実行できるかどうかを検証しますが、特定のリソースにアクセスすべきかどうかは検証しないことがよくあります。このギャップにより、認証済みユーザーが他のユーザーに属するデータを読み取ったり変更したりできる水平権限昇格が発生します。この記事では、.NET Coreの組み込みIAuthorizationServiceとカスタムハンドラーを使用してリソースベース認可を実装する方法を探ります。機能権限（ユーザーはこのエンドポイントを呼び出せるか？）を検証し、次にリソース権限（ユーザーはこのレコードを所有しているか？）を検証するという階層的アプローチを示しています。このパターンは、データ分離が重要なマルチテナントSaaSプラットフォーム、ヘルスケアシステム、金融アプリケーションに特に関連します。著者はまた、ポリシーベース認可との統合や複雑な所有権階層の処理などの拡張ポイントについても説明しています。エンジニアリングチームにとって、このパターンを採用することでセキュリティレビューのオーバーヘッドが削減され、コードベース全体でデータアクセスルールを一貫して強制する明確でテスト可能なパスが提供されます。
.NET Coreの認可パイプラインを拡張し、データ機密性の高いアプリケーションで水平権限昇格を防ぐリソースレベルの権限を強制する方法を学びます。