为安全修剪“编辑”视图寻找优雅和安全的方式

Question

寻找一种干净、安全的方式，只允许某些用户（按角色）编辑视图中的某些字段。这里的关键词是edit，因为只显示/隐藏视图的一部分（按钮、链接等）是一回事，而如何处理“受保护”字段则是另一回事被发布回控制器。

例如，我可以这样做：

查看模型

public class CustomerEditViewModel
{
    public string FirstName { get; set; }
    public string LastName { get; set; }
    // Other properties...

    public string Email { get; set; }
    public string Phone { get; set; }

    public bool CanEditContactInfo { get; set; } 
}

查看

@Html.EditorFor(m => m.FirstName)
@Html.EditorFor(m => m.LastName)

@if (Model.CanEditContactInfo)
{
    @Html.EditorFor(m => m.Email)
    @Html.EditorFor(m => m.Phone)
}

控制器

[HttpGet]
public ActionResult Edit(int id)
{
    var customer = _customerService.GetCustomerById(id);
    var model = Mapper.Map<CustomerEditViewModel>(customer);
    model.CanEditContactInfo = User.IsInRole("Admin");
    return View(model);
}

[HttpPost]
public ActionResult Edit(CustomerEditViewModel model)
{
    var customer = _customerRepo.GetCustomerById(model.Id);
    Mapper.Map(model, customer);
    _customerService.UpdateCustomer(customer);
    // return to Index view
}

但问题是，当非管理员用户编辑客户时，Email 和 Phone 字段永远不会在视图上呈现，因此当表单回发到控制器时它们将为 NULL，并且会进一步用 NULL 覆盖数据库中的实际值。

我可以这样解决：

@Html.EditorFor(m => m.FirstName)
@Html.EditorFor(m => m.LastName)

@if (Model.CanEditContactInfo)
{
    @Html.EditorFor(m => m.Email)
    @Html.EditorFor(m => m.Phone)
}
else
{
    @Html.HiddenFor(m => m.Email)
    @Html.HiddenFor(m => m.Phone)
}

即使非管理员用户正在编辑记录，这也会保留原始电子邮件/电话值，但问题是电子邮件/电话字段在呈现的 HTML 中作为隐藏字段可用，并且可以很容易地被发回之前的浏览器工具。

我确实有一些想法，但它们变得一团糟。所以我想知道对于这样的事情可能已经有哪些成功的方法。

Answer 1

安全编码的第一条经验法则是客户端输入不可信，这意味着您必须在服务器端应用检查和验证。 在您的情况下， HttpPost 控制器操作应再次检查用户角色。如果用户无权更新所有属性，那么您可以：

1- 再次加载原始数据并覆盖可通过用户输入更新的属性，然后保存此更新后的副本：

[HttpPost]
public ActionResult Edit(CustomerEditViewModel model)
{
    var customer = _customerRepo.GetCustomerById(model.Id);
    // Check the current user role.    
    If (!User.IsInRole("Admin"))
    {
       customer.FirstName = model.FirstName;
       customer.LastName = model.LastName;
    }
    else
    {
       Mapper.Map(model, customer);
    }
    _customerService.UpdateCustomer(customer);
    // return to Index view
}

2-创建另一个映射方法，忽略用户输入无法更新的属性，并根据用户权限调用正确的映射器

public static Customer ToEntity(this CustomerEditViewModel model, Customer destination)
{
    return Mapper.CreateMap<CustomerEditViewModel, Customer>()
                 .ForMember(dest => dest.Email, opt => opt.Ignore()
                 .ForMember(dest => dest.Phone, opt => opt.Ignore()
                );
}