Блог

использование asp mvc 4.

Когда пользователь переходит к записи учащегося, URL-адрес говорит:

 http://studentTracker.org/Record/Student?studentId=380
  

В настоящее время пользователь может изменить идентификатор студента прямо в URL-адресе и получить эту запись students, если она не существует. Как я могу либо скрыть часть строки запроса URL-адреса, либо обнаружить / проверить на контроллере, если пользователь изменил URL-адрес?

Во-первых, вы не можете запретить пользователю что-либо делать, особенно что-то вроде изменения идентификатора в URL. Что вы можете сделать, так это убедиться, что если они это сделают, они получат что-то вроде 404 или 403 вместо фактического содержимого.

Способ сделать это — выполнить разрешение на уровне объекта, что в основном просто означает привязку объекта к пользователям, которым разрешено каким-либо образом просматривать / редактировать его. Обычно это делается с помощью внешнего ключа для чего-то вроде вашего объекта «user» или чего-то более широкого, например, группы или роли.

Например, если запись «Student 380» принадлежит jdoe , то вы можете запретить доступ к ней кому-либо, но jdoe сначала добавив внешний ключ к вашей сущности «user» в вашей сущности «student». (Предполагается, что идентификатор не указан):

 public class Student
{
    ...

    [ForeignKey("Owner")]
    public string OwnerId { get; set; }
    public virtual ApplicationUser Owner { get; set; }
}
  

Затем в вашем действии вместо запроса только по идентификатору вы запрашиваете как идентификатор в URL, так и идентификатор аутентифицированного пользователя:

 var userId = User.Identity.GetUserId();
var student = db.Students.SingleOrDefault(m => m.Id == studentId amp;amp; m.OwnerId == userId);
if (student == null)
{
    return new HttpNotFoundResult();
}
  

Теперь, если пользователь изменяется studentId , но не установлен в качестве «владельца» соответствующего учащегося, он получит 404.