Знакът нула с поплавъци

Опитвам се да реша дали персонализираният атрибут за оторизация, който написах, наистина е добра идея.

Сценарий
Да кажем, че имаме колекция от магазини, всеки Store има собственик. Само собственикът на магазина може да извършва CRUD операции в магазина. С ИЗКЛЮЧЕНИЕ на потребители с Claim, което основно отменя изискването за собственост и казва, че могат да извършват CRUD операции във ВСЕКИ магазин.

Странична бележка: Използвам Thinktecture и ADFS

Така че направих атрибут StoreOwnerAuthorize, чиито параметри ("Manage", "Stores") се използват за проверка дали потребителят има подходящо твърдение за „отмяна“, че не е собственик, но все пак може да премине проверката за оторизация.

Не съм сигурен как се чувствам да имам претенция като „ManageStores“ и да извикам базата данни вътре в атрибута. Това ме кара да мисля, че вървя по грешен път, въпреки че постига точно това, от което се нуждая.

API маршрути

api/v1/Store/{storeId:int:min(1)}/employees   
api/v1/Store/{storeId:int:min(1)}/inventory 

API метод

[StoreOwnerAuthorize("Manage", "Stores")]
[ResourceAuthorize("View", "Store")]
[Route("")]
//api/v1/Store/{storeId:int:min(1)}/employees 
public IHttpActionResult GetStoreEmployees(int storeId)
{
    return Ok(collectionOfStoreEmployees);
}

StoreOwnerAuthorizeAttribute

public class StoreOwnerAuthorizeAttribute : ResourceAuthorizeAttribute
{
    private readonly DbContext _context = new DbContext();

    public StoreOwnerAuthorizeAttribute(){  }
    public StoreOwnerAuthorizeAttribute(string action, params string[] resources)
        : base(action, resources) { }

    protected override bool IsAuthorized(HttpActionContext actionContext)
    {
        //If the user has the Claim that overrides the requirement that the user 
        //is the Owner of the Store, skip checking if they are the owner
        if (base.IsAuthorized(actionContext))
            return true;

        //Get route parameter to lookup Store and determine if the user is the owner
        object storeId;
        actionContext.ControllerContext.RouteData.Values.TryGetValue("storeId", out storeId);
        var isOwner = false;
        if (storeId != null)
        {
            isOwner =
                _context.Store_Get_ByStoreID(int.Parse(storeId.ToString()))
                    .Any(x => x.OwnerId == theUser.Id());
        }
        return isOwner;
    }
}