Caso

Decides implementar un proveedor de membresía (o pertenencia) propio para resolver la autenticación y autorización de tus sitios web por medio de información almacenada en una base de datos de terceros (Oracle, MySql, etc.) o de servicios que están publicados a través de WCF. Adicionalmente, tendrás varios sitios web que usarán esta autenticación así que decides crear un proyecto de tipo biblioteca de clases (Class Library) con Visual Studio 2010, es decir, .Net Framework 4.0.

Como siempre has obrado en estos casos, sabes que debes escribir un proveedor de membresía personalizado que herede de la clase MembershipProvider; antes de eso debes referenciar la dll System.Web que contiene el espacio de nombres System.Web.Security. Escribes un código similar a este:

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Web;
using System.Security;
using System.Web.Security;
using System.Configuration.Provider;
using System.Configuration;
using System.Web.Configuration;

namespace MyNamespace
{
    public class MyMembershipProvider : MembershipProvider

Te das cuenta que ni el intellisense ni una compilación logran reconocer a MembershipProvider como clase dentro del espacio de nombres System.Web.Security. Luego, en un proyecto web te das cuenta que MembershipProvider sigue estando en dicho espacio de nombres, lo cual aumenta la confusión.

Causa

En .Net Framework 4.0, la clase MembershipProvider, clase abstracta de la que deben heredar todos los proveedores de membresía ASP.NET personalizados, ha sido movida al ensamblado System.Web.ApplicationServices. Por defecto, los proyectos web en Visual Studio referencian dicho ensamblado, las bibliotecas de clases (Class Library) no.

Solución

Se debe referenciar en el proyecto de tipo biblioteca de clases (Class Library) el ensamblado System.Web.ApplicationServices. Después de esto se podrá hacer uso de la clase MembershipProvider del espacio de nombres System.Web.Security.

¿Qué es Prism 4.0?

Se trata de un conjunto de guías y bibliotecas destinadas al diseño y la construcción de aplicaciones de escritorio (WPF) o Web (Silverlight) ricas en experiencia de usuario, flexibles y fáciles de mantener. Parte de la implementación de patrones de diseño que se consideran claves en el desarrollo de este tipo de aplicaciones: una clara separación de conceptos y un escaso acoplamiento entre ellos.

Más allá del lanzamiento como tal, cabe destacar el compromiso que Microsoft y los miembros más activos de su comunidad tienen con Silverlight, plataforma cuyo futuro ha sido abiertamente cuestionado por la llegada de la próxima revisión del estándar HTML5. Aquí vuelve a dejarse en claro que Microsoft apuesta por Silverlight como ecosistema de desarrollo no solo para contenidos multimedia Premium sin también para aplicaciones de línea de negocio que requieren una rica experiencia de usuario en la web.

Novedades en Prism 4.0

Algunos de los cambios más interesantes son:

• Guías de desarrollo para aplicaciones que corren en terminales Windows Phone 7.
• Guías en la implementación del patrón MVVM (Model-View View-Model) en aplicaciones WPF y Silverlight.
• La posibilidad de usar MEF ó Unity como contenedores de inyección de dependencia.

Prism es una excelente opción para aplicar patrones modernos en el desarrollo de software como la orientación a pruebas, la inyección de dependencia, el desacople de conceptos o capas de aplicación y la modularidad de las mismas al tiempo que desarrollamos, en plataformas sumamente ricas como Silverlight o WPF, aplicaciones que serán fáciles de mantener y extender en el tiempo. Si bien este conjunto de guías no están tan orientadas a la generación de código, como en el caso de Web Client Software Factory, su nutrida documentación hará que se interioricen con facilidad los conceptos que pretende divulgar. Desde este blog trataremos de escribir un conjunto de artículos que acerquen esta iniciativa a desarrolladores hispanohablantes.

Enlace: Prism 4.0.

Recientemente se publicó una vulnerabilidad grave en las aplicaciones web desarrolladas con ASP.NET (MVC y WebForms). Dicha vulnerabilidad se encuentra en el API de criptografía de ASP.NET y puede ser explotada mediante ataques recurrentes enviando Requests erróneos al servidor que luego este, en los mensajes de error que devuelve, descifra parcialmente; si se envía una cantidad suficiente de mensajes y se analiza los resultados en los mensajes de error se pueden descubrir las claves de encriptación del sitio web y comprometer su seguridad al descargar, por ejemplo, el web.config del sitio, que puede contener información delicada.

Scott Guthrie, en su blog, ha publicado más información sobre la vulnerabilidad y ha ofrecido una solución temporal para evitar que los sitios actualmente publicados en ASP.NET sufran por esta vulnerabilidad. Me permito traducir dicha solución, la cual consiste en hacer uso de la cláusula customErrors del archivo de configuración, activándola y redirigiendo en caso de cualquier error a una única página, evitando así que se envíe, de vuelta, información importante al atacante.

En soluciones ASP.NET v1.0 a v3.5 la solución se vería así en el web.config:

<customErrors mode =“On“ defaultRedirect=“~/error.html“ />

Nota: La sección customErrors va dentro de la sección <system.web>.

Después de modificar dicha sección se agregaría una página error.html en el directorio raíz del sitio con un mensaje sencillo advirtiendo de un error y sin ofrecer detalles del mismo.

En soluciones ASP.NET v3.5 SP1 o superior la solución se vería así en el web.config:

<customErrors mode ="On" redirectMode="ResponseRewrite" defaultRedirect="~/error.aspx" />

Nota: La sección customErrors va dentro de la sección <system.web>.

Después de modificar dicha sección se agregaría una página error.aspx en el directorio raíz del sitio con un mensaje sencillo advirtiendo de un error y sin ofrecer detalles del mismo. 

Me permito agregar algunos consejos de seguridad en aplicaciones web ASP.NET:

Finalmente, ScottGu ofrece una herramienta que nos permitirá descubrir si nuestros sitios web permitirían el ataque. El uso de esta herramienta, una vez descargada, se muestra en esta imagen:

Este script mostrará los sitios que carecen de la directiva customErrors o que la tienen configurada de forma tal que se permita el ataque.

Pero me encontré con un error, bastante extraño por cierto. Al momento de ejecutar las reglas de instalación me topé con que no se superaba esta:

"Versiones anteriores de Microsoft Visual Studio 2008"

En inglés:

"Previous releases of Microsoft Visual Studio 2008"

Esta regla no se cumple cuando tienes Microsoft Visual Studio 2008 sin Service Pack alguno instalado. Pero yo estaba seguro de tenerlo instalado (lo había requerido para aspectos como Entity Framework), tanto que el mismo Acerca de me lo confirmaba:

Efectivamente, la versión 9.0.30729.1 SP se corresponde con el Service Pack 1 de VS2008. Pero pese a eso no se superaba la regla. Estuve consultando este error un par de horas hasta que me encontré con una solución interesante:

Se trata de ejecutar simplemente el instalador del Management Studio saltando la regla de verificación de versiones anteriores de Visual Studio.

Para hacerlo entonces:

1. Ejecute la consola de Windows con privilegios de Administrador.
2. Diríjase a través de la consola a la ruta en donde se encuentra el instalador del Management Studio.
3. Ejecute la siguiente sentencia en la consola:

SQLManagementStudio_x64_ENU.exe /ACTION=Install /SkipRules=VSShellInstalledRule

En mi caso el instalador se llama SQLManagementStudio_x64_ENU.exe. Como verán, la clave se encuentra en el argumento SkipRules. Esto obligará a que el instalador del Management Studio no verifique esta regla:

Después de esto Management Studio se instalará correctamente. Cuidado, no se trata de abusar de este parámetro para saltar otras reglas. La idea es que la instalación sea lo más acorde a lo requerido posible. Recomiendo esta solución sólo cuando estén seguros de que, como en mi caso, tienen instalado el Service Pack 1 de Visual Studio 2008, para evitar complicaciones posteriores.

Y sí, Windows es inseguro. Internet Explorer es pedante y lento. Office es cerrado. Y podríamos seguir. Y es que Microsoft (como algunas otras empresas del sector) era capaz de vendernos una versión Beta de un producto al precio de su versión comercial, tanto así que Windows Millenium fue la beta de XP, Vista la de Seven, en fin.

También es cierto que Windows no es tanto inseguro como atacado (aunque esto parezca un juego de palabras) y apuesto a que otros sistemas operativos, al verse bajo los reflectores del éxito, serían igual de vulnerables. Y también es cierto que cuando a los usuarios se nos intentó vender mayor seguridad nos mostramos reacios (UAC, por ejemplo); claro, tener escoltas no debe ser del todo cómodo.

Sin embargo, de un tiempo para acá las cosas en Microsoft han cambiado un poco su matiz. De sacar vilipendiados productos ha pasado a hacer un buen trabajo y algunos de sus peores terrenos ahora son, digamos, lo bastante exitosos para hacer una competencia tanto para usuarios avanzados como usuarios neófitos. Claro que, es cierto, es muy probable que se hayan perdido espacios difíciles de recuperar.

Windows 7

Seguro, dinámico, bonito, funcional, el último sistema operativo de la marca Windows se ha convertido en una excelente credencial para mostrar puesto que ha acoplado la segura base de Windows Vista (no todo fue mal allí) con menores exigencias en términos de Hardware, que es lo que actualmente se espera por parte de los sistemas operativos de escritorio. Sus récords en ventas demuestran que pronto estará por encima de los demás del mercado (sólo le falta superar a Windows XP) y representa una oportunidad perdida para la competencia que pudo, dado el fiasco de Windows Vista, apropiarse de una tajada mayor.

Office 2010

La suite de productividad de Microsoft liberada este año es también otra evidencia del positivo rumbo que toma la empresa. Y no sólo porque sus funcionalidades y desempeño sean grandiosos sino porque además se pone al corriente de las tendencias en la industria: mucho más orientado al consumo de servicios en la nube que sus predecesores (y que sus competidores) y con aspectos que se acercan a ofrecer reales alternativas (incluso gratuitas) al usuario. Además han acoplado los ciclos de desarrollo que benefician tanto al consumidor como el productor al punto que hemos podido disfrutar de versiones previas a la comercial de manera gratuita; escuchan al usuario.

Pero no sólo en sus productos estrella se nota la nueva disposición de Microsoft a mejorar: podemos citar otros ejemplos; Internet Explorer en la versión 9 (que se encuentra en desarrollo y se ha ido mostrando a través de previas) será uno de los primeros navegadores (si no el primero) en integrar aceleración por hardware y el estándar HTML5 además de que se acerca a satisfacer benchmarks como los de Sun Spider (para JavaScript) o los tests de Acid (para css y html). O Microsoft Security Essentials, gratuito y que está al nivel de los mejores antivirus (tanto los de pago como los de uso libre) en detección de amenazas para el usuario. O la nueva versión de Windows Live: mucho más social, con mayor presencia en la web y además gratuita. Y también Visual Studio 2010, Silverligth 4, Expression 4, y todo el ecosistema de desarrollo de aplicaciones que son, francamente, una mejora invaluable en la experiencia de uso para los desarrolladores de software. Esperemos a ver qué trae Windows Phone 7.

Podemos concluir diciendo que esa corrección del rumbo de la que hablo se manifiesta en 3 frentes: seguridad, mayor presencia en la web y una mayor disposición a poner al servicio de los consumidores herramientas gratuitas (e incluso algunas veces open source).

Dejo aquí algunos enlaces interesantes para sustentar mi opinión.

Windows 7 y su ascenso en la cuota de mercado.

Office 2010.

Internet Explorer 9.

Microsoft Security Essentials.

Ahora que ya estoy en lo que, para entonces, era el futuro veo que quedan muchas cosas por hacer. Que la innovación aunque presente, muy presente, en el presente dista un poco de lo que se prometía en la ciencia ficción de ochentas y noventas. Todo esto en lugar de decepcionarme me parece excitante pues aún quedan caminos por recorrer y me siento joven y dispuesto a lo que venga. Quiero participar de ello, de hacer el futuro, de construir aplicaciones y sistemas y robots, etc., que hagan nuestra vida muchísimo más amigable. En ese sentido apuntan los grandes en la informática y otras áreas y quiero estar en primera plana, con las botas puestas, “cuando estalle la guerra estaré en la trinchera contigo”.

Todo esto viene a cuento debido a varias cosas, entre ellas que viendo a lo que apuntan elementos innovadores como las pantallas táctiles, el reconocimiento de rasgos y gestos humanos, lo que se rumora que será Windows 8, lo que será el Proyecto Natal, en fin, frente a todo eso he tenido momentos de escepticismo. No porque no crea que son geniales, no. Simplemente porque día a día te vas internando en tu trabajo y lo que haces puede tornarse repetitivo y ves el software corporativo tan distante de ello, como anclado aún al ratón y al teclado, a las grillas, a las listas desplegables, en fin. Y todo eso sientes que pasará de largo frente a lo que haces a diario: software para el trabajo. Luego he leído una interesante entrada en el blog de Jaimir Guerrero y me he sentido repentinamente viejo puesto que asumía posiciones lejos de lo que yo mismo en la niñez contemplaba como emocionante, como el futuro.

Así que he decidido sacudirme las telarañas y prometerme que seré parte de dicha evolución, que estaré en el equipo de los que transformen el mundo y que hagan del software corporativo (y el software en general) una realidad que supere la ficción. Estoy joven (de nuevo) y dispuesto.

Una vez he descargado el paquete paso a descomprimirlo y a pegar los archivos claves en las rutas correspondientes, como muestro en la siguiente imagen:

Lo siguiente que haré será crear el HtmlHelper para automatizar el proceso de escritura de la función que hará la gracia. Para hacerlo tengo que disponer de una clase con los modificadores de acceso public y static y dentro un método de extensión a la clase HtmlHelper. Pongo aquí el código:

using System.Text;

using System.Web.Mvc;

namespace AutoCompleter.Helpers

{

    public static class MyHelpers

    {

        public static string AutoCompleter(this HtmlHelper helper, string name, string controller, string action, string fieldName, bool mustMatch)

        {

            StringBuilder html = new StringBuilder("<script type=\"text/javascript\">");

            html.Append("$(document).ready( function() {");

            html.AppendLine("$('#" + name + "').autocomplete('/" + controller + "/" + action + "/', {");

            html.AppendLine("dataType: 'json',");

            html.AppendLine("parse: function(data) {");

            html.AppendLine("var rows = new Array();");

            html.AppendLine("for(var i=0; i<data.length; i++){");

            html.AppendLine("rows[i] = { data:data[i], value:data[i]." + fieldName + ", result:data[i]." + fieldName + " };");

            html.AppendLine("} return rows;},");

            html.AppendLine("formatItem: function(row, i, n) {");

            html.AppendLine("return row." + fieldName + ";},");

            html.AppendLine(" width: 300, mustMatch: " + mustMatch.ToString().ToLower() + " , });});</script>");

            return html.ToString();

        }

    }

}

Como ven, se trata de un método que escribe el código de la función, que anexa a un cuadro de texto, generará el comportamiento de autocomplete. Revisemos los parámetros:

• helper: ¿Es necesario decirlo? Es el que nos dice que se trata de un método de extensión sobre la clase HtmlHelper.
• name: Representa el nombre del cuadro de texto que va a tener la funcionalidad de autocompletado.
• controller: Hace referencia al controlador que contendrá un método dispuesto a retornar los objetos que se listarán en el autocompletado.
• action: Nombre del método del controlador que retornará los objetos a listarse en el autocompletado. Para efectos de que nuestro AutoComplete funcione es necesario que lo retornado por este método sea un objeto Json.
• fieldName: Se refiere a la propiedad de los objetos que se retornen que será el texto a mostrarse en la lista de autocompletado.
• mustMatch: Nos permitirá indicar si el valor del cuadro de texto debe coincidir con alguno de los retornados en la lista de autocompletado.

Vamos a poner aquí un ejemplo de lo que sería el método que retornaría la lista de autocompletado. En nuestro Home controller agregaremos este método:

public ActionResult GetStrings(string q)

{

    string[] strings = new string[] { "abc", "abecedario", "akeronte", "abuela", "about" };

    var data = from string s in strings select new { myText = s };

    return Json(data);

}

El tipo de retorno de este método es un ActionResult que luego será específicamente un Json. Tiene un parámetro llamado q (ese debe ser su nombre) de tipo string que representará el texto escrito en el cuadro de texto. En este caso no lo uso puesto que la lista a retornar es bastante pequeña, pero se hace muy útil en escenarios en los que quiero filtrar realmente el conjunto de resultados a retornar (cuando por ejemplo lo saco de una base de datos). Tengo en este caso un arreglo de strings que luego convierto en un objeto anónimo con una propiedad llamada myText. Retorno este objeto convertido en uno Json.

Ahora bien, en el MasterPage de mi sitio agrego las referencias necesarias a los scripts de jQuery, así:

<head runat="server">

    <title><asp:ContentPlaceHolder ID="TitleContent" runat="server" /></title>

    <script type="text/javascript" src="../../Scripts/MicrosoftAjax.js"></script>  

    <link href="../../Content/Site.css" rel="stylesheet" type="text/css" />

    <link href="../../Content/jquery.autocomplete.css" rel="stylesheet" type="text/css" />

    <script type="text/javascript" src="../../Scripts/jquery-1.2.6.min.js"></script>

    <script type="text/javascript" src="../../Scripts/jquery.autocomplete.js"></script>

</head>

Voy a probarlo sobre el Index del Home controller. Para poder usar el Helper que he creado debo hacer un Import sobre el espacio de nombres que lo contiene. He aquí todo el código del Index:

<%@ Page Language="C#" MasterPageFile="~/Views/Shared/Site.Master" Inherits="System.Web.Mvc.ViewPage" %>

<%@ Import Namespace="AutoCompleter.Helpers" %>

<asp:Content ID="indexTitle" ContentPlaceHolderID="TitleContent" runat="server">

    Home Page

</asp:Content>

<asp:Content ID="indexContent" ContentPlaceHolderID="MainContent" runat="server">

    <h2><%= Html.Encode(ViewData["Message"]) %></h2>

    <p>

        <%= Html.TextBox("MyTextBox") %>

        <%= Html.AutoCompleter("MyTextBox", "Home", "GetStrings", "myText", false) %>

    </p>

</asp:Content>

Como ven, primero creo un cuadro de texto (a través de la etiqueta input o con el Helper TextBox) al que he llamado MyTextBox. Luego creo el AutoCompleter y le asigno valores a sus parámetros. El primero es el nombre del cuadro de texto que se comportará como autocompletador. Luego doy el nombre del controlador que contiene al método, el tercer parámetro es el nombre del método, el cuarto parámetro representa a la propiedad que se mostrará en la lista de autocompletado y finalmente digo si deberá coincidir el texto ingresado con algún elemento de los retornados.

Ejecutándolo se verá así:

Dejo el enlace para descargar la solución:

AutoCompleter.sln

Puesta esta situación vamos a mostrar escuetamente una de las nuevas técnicas de despliegue de aplicaciones que vienen empaquetadas en Visual Studio 2010: MSDeploy. Para ello he creado una pequeña aplicación Dynamic Data que no interesará mucho para los propósitos de esta entrada, salvo como elemento de laboratorio.

Trabajando entonces en nuestra aplicación ASP.NET vamos a configurar un perfil de despliegue para la misma basado en MSDeploy. Para hacerlo vamos a ir al menú Build y seleccionaremos de allí la opción Publish <nombre del proyecto>. O podremos dirigirnos directamente al menú Publish de nuestra barra de herramientas:

Seleccionaremos la opción Create Publish Settings – <New> y aparecerá el siguiente cuadro de diálogo:

En primer lugar tendremos el nombre del perfil de publicación y adicionalmente las siguientes opciones:

• Publish method: Podremos escoger entre Web Deploy, FTP, File System y FPSE. Para este caso usaremos Web Deploy.
• Service URL: Hace referencia a la ruta en la que se publicará el archivo de despliegue de la aplicación en el servidor de aplicaciones. Para este ejemplo he puesto http://localhost/DDEWA/MsDeploy.axd (previa configuración de dicha ruta en mi IIS).
• Site/application: Se refiere al nombre del sitio en el Internet Information Services. Incluso puede especificarse una estructura de subdirectorios en este parámetro. En mi caso he puesto DDEWA/Test.

Podemos también marcar la aplicación como IIS en el destino y especificar que no se borrarán archivos adicionales en las carpetas publicadas una vez hagamos re-publicación. También, si se ha configurado acceso restringido a las carpetas virtuales de publicación en el servidor podemos especificar las credenciales del usuario autorizado. Usaremos el botón Save de este cuadro de diálogo para almacenar este perfil.

Si la configuración es exitosa ya podremos hacer uso del botón Publish en nuestro menú de publicación. Se trata de, literalmente, publicación a un clic de distancia:

Podemos comprobar para este ejemplo la creación de la aplicación en el servidor IIS y su visualización en el navegador:

Un aspecto importante a tener en cuenta es que en cada re-publicación se enviarán sólo los archivos modificados y no todo el sitio. Una gran ventaja para aplicaciones web enormes.

Impresiones sobre la instalación

Es probable que sea una mera impresión, pero fue más rápida la instalación de VS2010 que la de sus antecesores. No hice una métrica seria al respecto puesto que hacía otras cosas al tiempo pero me pareció bastante más rápido el proceso.

Ver álbum completo

Requirió reiniciar el equipo después de la instalación del Framework (4.0 RC1) y experimenté un pequeño contratiempo después de hacerlo: había descargado el ISO para la instalación y lo monté en una unidad virtual; al reiniciar el equipo no se montó automáticamente el ISO en la unidad virtual, como era de esperarse, haciendo fallar al instalador que continuaba su proceso. Afortunadamente el mensaje de error ofrecía la opción Reintentar y después de montar de nuevo la imagen en la unidad continué con el proceso.

Se instalaron el resto de componentes del paquete, pero se presentó un problema instalando Microsoft Silverlight: el archivo de log estaba lleno por lo que no pude obtener la causa real del error (a menos que sea, precisamente ésa la causa). El instalador concluyó así:

Después de finalizar, abrí por primera vez el RC1 y esta fue su apariencia:

Me gusta mucho la nueva página de inicio así como el entorno en general (amén por el WPF). Estuve probando cosas aquí y allá y me hice una prematura idea sobre el performance del IDE. Profundizaré en ello luego. Me interesa mucho usar las nuevas posibilidades en cuanto a programación paralela que trae esta versión de .Net. Mi idea también es que sea usada como nuestra plataforma de desarrollo para lo que será en este año el remake de uno de los productos de nuestra empresa.

Coda

Dedicaré algo de tiempo durante este mes para irme adentrando en .Net 4.0 y todas sus prestaciones. Documentaré algunas de mis incursiones en la programación paralela y me prometo explorar algo del Azure. Tantas cosas se me hacen tan brillantes gracias a Visual Studio 2010 que es probable que me pase el año deslumbrado.

En términos de desarrollo sí que es interesante. Google vuelve a poner lo mejor de sí en un producto bastante eficiente, sencillo y de gran factura. Mis respetos en ese sentido.

Pero el bache principal que le encuentro es el de siempre cuando se trata de la empresa con el slogan más hipócrita a estas alturas (don’t be evil): la privacidad de los usuarios. En Google Buzz no es opcional ingresar (entrando a tu cuenta Gmail pasas por ahí) aunque sí lo sea retirarse; claro que cuando te retiras ya has sufrido un daño irreversible: se ha publicado información con respecto a quiénes son tus contactos y cuáles son aquellos con los que más conversas. Esta información, que debería ser privada es expuesta de inmediato sin que medie intervención del usuario. Supongo que eso también estará en la letra menuda de la Ley Patriótica.

Luego se pueden personalizar los niveles de seguridad y eso pero en mi caso particular (por pánico o no, eso a nadie le interesa) he decidido apagarlo. Lo correcto debía ser que hubiera podido decidir prenderlo.

Finalmente, en los términos de privacidad del mentado Buzz reza que aún el perfil que configuremos allí no es susceptible de ser incluido en los resultados de las búsquedas. ¿Acaso eso es siquiera discutible?