DevExpress官网

DevExpress XAF是一款强大的现代应用程序框架，允许同时开发ASP.NET和WinForms。XAF采用模块化设计，开发人员可以选择内建模块，也可以自行创建，从而以更快的速度和比开发人员当前更强有力的方式创建应用程序。

本文中的内容概述了XAF跨平台.NET应用UI和DevExpress .NET App、Web API服务(预计发布日期:2024年6月)将发布的特性/功能。

在上文中（点击这里回顾>>），我们介绍了在下一个新版（v24.1）发布周期中ASP.NET Core Blazor UI的新特性、新功能等，本文将继续介绍安全方面的增强等。

注意：本文中列出的功能和特性说明官方当前/预计的发展计划，此信息仅供参考之用，其中列出的功能/产品可能会更改。

获取DevExpressv23.2正式版下载

DevExpress技术交流群9：909157416      欢迎一起进群讨论

安全增强

单点登录(SSO)支持

今天，现代XAF Blazor和WinForms应用程序与组织内部的许多外部系统集成在一起。例如，如果一个组织使用Microsoft 365, XAF应用程序通常可以在https://myapps.microsoft.com/上与该组织内的许多其他应用程序一起使用。由于XAF Blazor和WinForms .NET 6+应用程序(基于XPO和EF core)支持Microsoft Entra ID和其他OAuth2提供商，组织希望/更喜欢XAF应用程序与现有系统/服务(如Microsoft Entra单点登录(SSO))共享相同的登录详细信息或身份验证cookie。在v24.1中，XAF应用程序将本地支持SSO。

换句话说，组织需要满足以下要求：当用户已经在组织内进行身份验证时(例如，使用Microsoft 365)， XAF应用程序必须与SSO无缝协作。目前XAF开发人员必须实现自定义解决方案来修改XAF的登录表单和身份验证行为以支持SSO，重要的单点登录场景包括但不限于以下场景：

1. 如果用户没有在组织内登录，那么XAF应用程序将显示标准的OAuth2/SSO提供者登录表单(就像Teams, Word或Outlook通常为Microsoft 365所做的那样)。如果用户被管理员强制注销，那么XAF应用程序也应该显示标准的登录表单。
2. 如果用户在组织内登录(它可以是另一个非XAF应用程序)，则不会为用户显示XAF登录表单，焦点直接移动到XAF应用程序UI(通过来自组织的“应用程序仪表板”的链接或通过其他方法)，XAF应用程序中的登录过程在后台自动进行(通过API调用)。在这种情况下，不应该强迫XAF用户显式地按下“Login with Microsoft”，因为SSO将按照预期“正常工作”。
3. 如果组织内的用户在用户已经登录后需要进行额外的安全检查(例如，在30-60天后通过电话重新确认MFA信息)，那么XAF应用程序必须提供一个清晰易懂的标准OAuth2提供者UI，并禁止XAF UI内的任何操作。例如，Teams、Word或Outlook会显示模态对话框来重新确认你的登录细节，然后用户才能再次访问和使用这些Microsoft 365应用程序。

支持ASP.NET Core身份和其他外部权限提供程序和存储

在v24.1中，您可以在XAF Blazor和WinForms应用中启用标准ASP.NET Core身份框架功能，这些应用由.NET 6+和实体框架核心提供支持。这包括Microsoft.AspNetCore.Identity.EntityFrameworkCore和数据库特定的身份包(如Microsoft.EntityFrameworkCore.SqlServer)的无缝集成。

如果您在XAF的解决方案向导中启用此选项，XAF项目将生成 `public class ApplicationUser : IdentityUser { /*... * /}`以及预配置的DbContext——两者都集成到XAF的安全系统中，用于身份验证和授权(基于角色的访问控制或RBAC)。XAF的RBAC(类型、记录和字段级权限)之间的链接是通过通用的IdentityRole和其他EF Core数据模型类(它们是Identity数据模型的一部分)建立的，这个Identity数据模型通过EF Core映射到底层数据库。

除了Identity模型和数据库存储之外，XAF客户还将体验到以下好处：

• 自动访问所有标准身份特性，如单点登录(SSO)、注册新用户的端点、恢复密码和其他Microsoft实现(或未来的.NET实现)。
• 特定于XAF的权限被序列化为JSON，并存储在与identityrole相关的表中。对于高级场景，XAF开发人员可以实现自定义权限提供程序，例如与外部服务而不是Identity数据库同步用户权限和角色(从技术上讲，您需要在XAF应用程序和外部端点之间传递JSON)。
• XAF项目中的安全配置代码的数量也将被最小：

builder.Services.AddIdentityCore<ApplicationUser>() .AddEntityFrameworkStores<AppDbContext>() .AddApiEndpoints();

• 如果您已经有了使用EF Core和Identity的外部项目，那么XAF的集成也会变得容易得多。在XAF驱动的项目中添加开发人员也会更容易，因为EF Core和ASP. NET Core Identity框架被数百万的.NET开发人员所使用。
• XAF将继续为Identity用户和角色生成其标准的登录和CRUD UI屏幕，并允许您编辑XAF对这些角色的权限。
• 您还可以在其他数据模型中引用ApplicationUser类(例如，实现CreatedBy或ModifiedBy属性)。标准标准函数，如CurrentUserId、IsUserInRole和其他函数也将起作用。

WinForms应用的中间层安全：支持多租户和OAuth2

在v24.1中，具有中间层安全性的XAF WinForms应用程序(. NET 6+)将原生支持OAuth2提供者和多租户。

正如我们在安全注意事项文档中所描述的，使用中间层应用程序服务器，Windows桌面应用程序可以更好地满足企业安全标准。通过我们的解决方案，EF Core或XPO开发人员可以保留他们的标准DbContext或Session，并从任何.NET客户端(如XAF WinForms或非XAF应用程序)发起到数据存储的远程连接。此功能在某些环境/业务应用程序(由于安全考虑而无法维护直接数据库连接的环境)中至关重要。

强调一点：非AF EF Core或XPO开发人员可以从我们的中间层应用服务器中受益，并使用他们的实体数据模型保留DbContext或Session。这对许多桌面.NET开发人员（WinForms、WPF、WinUI等）来说尤其重要，因为他们现在需要满足更高的安全标准。简而言之，这些开发人员要么需要为Windows改造/现代化他们的“胖客户端”，要么需要使用现代Web技术和云服务从头开始。我们的中间层安全性允许您选择“更容易”且可能更可靠的路由，并使用中间件“替换”直接数据库连接。查看下面的代码片段以获得这方面的更多信息：

var httpRemoteRepository = new HttpRemoteRepository(httpClient, typeof(EFCoreDbContext).FullName);
var optionsBuilder = new DbContextOptionsBuilder<EFCoreDbContext>();
optionsBuilder.UseMiddleTier(opt =>
opt.UseRemoteRepository(httpRemoteRepository));
optionsBuilder.UseChangeTrackingProxies();
optionsBuilder.UseLazyLoadingProxies();
var dbContextOptions = optionsBuilder.Options;
var dbContext = new EFCoreDbContext(dbContextOptions);
var users = dbContext.Employees.ToList();

WinForms应用程序的中间层安全性：增强性能和可用性

具有中间层安全性的XAF WinForms将在v24.1中执行得更快。

此外，现在可以从BaseObject后代中调用新的SetPropertyValueWithBypassSecurity方法来绕过内部应用程序逻辑中某些受保护属性的安全检查(也支持自定义基类)。

当您希望设置CreatedBy、ModifiedBy、CreatedOn、UpdatedOn等服务属性时，这个功能对XAF开发人员尤其有价值——我们的Audit Trail和Model Difference模块使用类似的机制进行操作。SetPropertyValueWithBypassSecurity方法可以像应用程序管理员一样，在代码中代表受限制/普通用户自由地设置受保护的属性，而无需知道管理员凭据(如服务任务的模拟)。

public override void OnSaving() {
if (ObjectSpace.IsNewObject(this)) {
SetPropertyValueWithBypassSecurity(nameof(CreatedBy), GetCurrentUser());
}
else {
SetPropertyValueWithBypassSecurity(nameof(UpdatedBy), GetCurrentUser());
SetPropertyValueWithBypassSecurity(nameof(UpdatedOn), DateTime.Now);
}
if (!IsRunningOnMiddleTierServer()) {
// ...
}
}

对于许多XAFers来说，这是一个长期要求的选项—一个阻止从集成模式完全迁移到中间层安全的选项(因为CreateNonsecuredObjectSpace和其他解决方案不方便)。SetPropertyValueWithBypassSecurity也有一定的限制，比如调用这个方法只能从BaseObject.OnSaving内部支持(为了最好的安全性)，或者被绕过的属性不能在内部更新其他受保护的属性，这个新选项可能将覆盖80%的流行用例。随着相关的性能增强，默认情况下在解决方案向导中启用XAF WinForms应用程序中的中间层安全性之前的最后一步，希望XAF开发人员能够发现这些新功能也足以切换到中间层安全性。

由于篇幅有限，下期继续讲解，请持续关注查看最新产品资讯哦~

更多DevExpress线上公开课、中文教程资讯请上中文网获取

相关产品： .NET开发框架eXpressApp Framework(XAF), DevExpress Universal Subscription,