DevExpress XAF是一款强大的现代应用程序框架允许同时开发ASP.NET和WinForms。XAF采用模块化设计开发人员可以选择内建模块也可以自行创建从而以更快的速度和比开发人员当前更强有力的方式创建应用程序。本文中的内容概述了XAF跨平台.NET应用UI和DevExpress .NET App、Web API服务(预计发布日期:2024年6月)将发布的特性/功能。DevExpress新旧版本帮助文档下载可进QQ qun获取169725316在上文中我们介绍了在下一个新版v24.1发布周期中ASP.NET Core Blazor UI的新特性、新功能等本文将继续介绍安全方面的增强等。注意本文中列出的功能和特性说明官方当前/预计的发展计划此信息仅供参考之用其中列出的功能/产品可能会更改。安全增强单点登录(SSO)支持今天现代XAF Blazor和WinForms应用程序与组织内部的许多外部系统集成在一起。例如如果一个组织使用Microsoft 365, XAF应用程序通常可以在https://myapps.microsoft.com/上与该组织内的许多其他应用程序一起使用。由于XAF Blazor和WinForms .NET 6应用程序(基于XPO和EF core)支持Microsoft Entra ID和其他OAuth2提供商组织希望/更喜欢XAF应用程序与现有系统/服务(如Microsoft Entra单点登录(SSO))共享相同的登录详细信息或身份验证cookie。在v24.1中XAF应用程序将本地支持SSO。换句话说组织需要满足以下要求当用户已经在组织内进行身份验证时(例如使用Microsoft 365) XAF应用程序必须与SSO无缝协作。目前XAF开发人员必须实现自定义解决方案来修改XAF的登录表单和身份验证行为以支持SSO重要的单点登录场景包括但不限于以下场景如果用户没有在组织内登录那么XAF应用程序将显示标准的OAuth2/SSO提供者登录表单(就像Teams, Word或Outlook通常为Microsoft 365所做的那样)。如果用户被管理员强制注销那么XAF应用程序也应该显示标准的登录表单。如果用户在组织内登录(它可以是另一个非XAF应用程序)则不会为用户显示XAF登录表单焦点直接移动到XAF应用程序UI(通过来自组织的“应用程序仪表板”的链接或通过其他方法)XAF应用程序中的登录过程在后台自动进行(通过API调用)。在这种情况下不应该强迫XAF用户显式地按下“Login with Microsoft”因为SSO将按照预期“正常工作”。如果组织内的用户在用户已经登录后需要进行额外的安全检查(例如在30-60天后通过电话重新确认MFA信息)那么XAF应用程序必须提供一个清晰易懂的标准OAuth2提供者UI并禁止XAF UI内的任何操作。例如Teams、Word或Outlook会显示模态对话框来重新确认你的登录细节然后用户才能再次访问和使用这些Microsoft 365应用程序。支持ASP.NET Core身份和其他外部权限提供程序和存储在v24.1中您可以在XAF Blazor和WinForms应用中启用标准ASP.NET Core身份框架功能这些应用由.NET 6和实体框架核心提供支持。这包括Microsoft.AspNetCore.Identity.EntityFrameworkCore和数据库特定的身份包(如Microsoft.EntityFrameworkCore.SqlServer)的无缝集成。如果您在XAF的解决方案向导中启用此选项XAF项目将生成 public class ApplicationUser : IdentityUser { /*... * /}以及预配置的DbContext——两者都集成到XAF的安全系统中用于身份验证和授权(基于角色的访问控制或RBAC)。XAF的RBAC(类型、记录和字段级权限)之间的链接是通过通用的IdentityRole和其他EF Core数据模型类(它们是Identity数据模型的一部分)建立的这个Identity数据模型通过EF Core映射到底层数据库。除了Identity模型和数据库存储之外XAF客户还将体验到以下好处自动访问所有标准身份特性如单点登录(SSO)、注册新用户的端点、恢复密码和其他Microsoft实现(或未来的.NET实现)。特定于XAF的权限被序列化为JSON并存储在与identityrole相关的表中。对于高级场景XAF开发人员可以实现自定义权限提供程序例如与外部服务而不是Identity数据库同步用户权限和角色(从技术上讲您需要在XAF应用程序和外部端点之间传递JSON)。XAF项目中的安全配置代码的数量也将被最小builder.Services.AddIdentityCoreApplicationUser() .AddEntityFrameworkStoresAppDbContext() .AddApiEndpoints();如果您已经有了使用EF Core和Identity的外部项目那么XAF的集成也会变得容易得多。在XAF驱动的项目中添加开发人员也会更容易因为EF Core和ASP. NET Core Identity框架被数百万的.NET开发人员所使用。XAF将继续为Identity用户和角色生成其标准的登录和CRUD UI屏幕并允许您编辑XAF对这些角色的权限。您还可以在其他数据模型中引用ApplicationUser类(例如实现CreatedBy或ModifiedBy属性)。标准标准函数如CurrentUserId、IsUserInRole和其他函数也将起作用。WinForms应用的中间层安全支持多租户和OAuth2在v24.1中具有中间层安全性的XAF WinForms应用程序(. NET 6)将原生支持OAuth2提供者和多租户。正如我们在安全注意事项文档中所描述的使用中间层应用程序服务器Windows桌面应用程序可以更好地满足企业安全标准。通过我们的解决方案EF Core或XPO开发人员可以保留他们的标准DbContext或Session并从任何.NET客户端(如XAF WinForms或非XA应用程序)发起到数据存储的远程连接。此功能在某些环境/业务应用程序(由于安全考虑而无法维护直接数据库连接的环境)中至关重要。强调一点非AF EF Core或XPO开发人员可以从我们的中间层应用服务器中受益并使用他们的实体数据模型保留DbContext或Session。这对许多桌面.NET开发人员WinForms、WPF、WinUI等来说尤其重要因为他们现在需要满足更高的安全标准。简而言之这些开发人员要么需要为Windows改造/现代化他们的“胖客户端”要么需要使用现代Web技术和云服务从头开始。我们的中间层安全性允许您选择“更容易”且可能更可靠的路由并使用中间件“替换”直接数据库连接。查看下面的代码片段以获得这方面的更多信息var httpRemoteRepository new HttpRemoteRepository(httpClient, typeof(EFCoreDbContext).FullName); var optionsBuilder new DbContextOptionsBuilderEFCoreDbContext(); optionsBuilder.UseMiddleTier(opt opt.UseRemoteRepository(httpRemoteRepository)); optionsBuilder.UseChangeTrackingProxies(); optionsBuilder.UseLazyLoadingProxies(); var dbContextOptions optionsBuilder.Options; var dbContext new EFCoreDbContext(dbContextOptions); var users dbContext.Employees.ToList();WinForms应用程序的中间层安全性增强性能和可用性具有中间层安全性的XAF WinForms将在v24.1中执行得更快。此外现在可以从BaseObject后代中调用新的SetPropertyValueWithBypassSecurity方法来绕过内部应用程序逻辑中某些受保护属性的安全检查(也支持自定义基类)。当您希望设置CreatedBy、ModifiedBy、CreatedOn、UpdatedOn等服务属性时这个功能对XAF开发人员尤其有价值——我们的Audit Trail和Model Difference模块使用类似的机制进行操作。SetPropertyValueWithBypassSecurity方法可以像应用程序管理员一样在代码中代表受限制/普通用户自由地设置受保护的属性而无需知道管理员凭据(如服务任务的模拟)。public override void OnSaving() { if (ObjectSpace.IsNewObject(this)) { SetPropertyValueWithBypassSecurity(nameof(CreatedBy), GetCurrentUser()); } else { SetPropertyValueWithBypassSecurity(nameof(UpdatedBy), GetCurrentUser()); SetPropertyValueWithBypassSecurity(nameof(UpdatedOn), DateTime.Now); } if (!IsRunningOnMiddleTierServer()) { // ... } }对于许多XAFers来说这是一个长期要求的选项—一个阻止从集成模式完全迁移到中间层安全的选项(因为CreateNonsecuredObjectSpace和其他解决方案不方便)。SetPropertyValueWithBypassSecurity也有一定的限制比如调用这个方法只能从BaseObject.OnSaving内部支持(为了最好的安全性)或者被绕过的属性不能在内部更新其他受保护的属性这个新选项可能将覆盖80%的流行用例。随着相关的性能增强默认情况下在解决方案向导中启用XAF WinForms应用程序中的中间层安全性之前的最后一步希望XAF开发人员能够发现这些新功能也足以切换到中间层安全性。由于篇幅有限下期继续讲解请持续关注查看最新产品资讯哦~