c# - 用户在View中修改model的隐藏值(@Html.HiddenFor)

Question

我使用此 View 编辑现有对象:

@using (Html.BeginForm("EditPat","bff"))
{
    @Html.AntiForgeryToken()
    @Html.ValidationSummary(true)
    @Html.HiddenFor(m => m.IdNumPart)
    ...more code

其实IdNumPart字段对于普通用户是不可见的，但是如果他们使用Chrome DevTools他们可以修改隐藏的值:

<input data-val="true" data-val-number="The field IdNumPart must be a number." data-val-required="The IdNumPart field is required." id="IdNumPart" name="IdNumPart" type="hidden" value="13">

当他们提交时，这将影响我的 Controller 中的逻辑，他们可以修改任何更改 IdNumPart

的记录

[HttpPost]
public ActionResult EditPat(inspListaNoParte model)
{
    try
    {
        var oldModel = bff.inspListaNoPartes.Find(model.IdNumPart);
        bff.Entry(oldModel).State = EntityState.Modified;
        oldModel.UMC = model.UMC;
        bff.SaveChanges();
        TempData["AlertMessage"] = "Success";
    }
    catch (Exception ex)
    {
        TempData["ErrorMessage"] = "Error";
        throw;
    }
    return View();
}

所以，我正在寻找一种方法来保护我免受这些问题的影响。

Answer 1

您可以使用属性来禁止某些用户访问方法

[HttpPost]
[Authorize(Roles = "Administrator,Editors")]
public ActionResult EditPat(inspListaNoParte model)
{
    try
    {
        var oldModel = bff.inspListaNoPartes.Find(model.IdNumPart);
        bff.Entry(oldModel).State = EntityState.Modified;
        oldModel.UMC = model.UMC;
        bff.SaveChanges();
        TempData["AlertMessage"] = "Success";
    }
    catch (Exception ex)
    {
        TempData["ErrorMessage"] = "Error";
        throw;
    }
    return View();
}

或者您可以使用方法检查用户是否在组内

if(User.IsInRole("Administrator"))

并将字段添加到您的数据库表“ModifiedBy”，这样您就可以知道谁是最后修改记录的人。

oldModel.LastModifiedBy= WebSecurity.CurrentUserId;

如果用户有权访问某些产品的编辑模式，那么只需检查该产品是否属于他

if(oldModel.OwnerId == WebSercurity.CurrentUserId)

希望对您有所帮助。