将参数从视图传递到控制器并将其作为视图返回的安全方法

Question

我正在寻找查询字符串的安全替代方案，我将在同一控制器上将参数传递给控制器​​方法并将其作为视图返回。

类别视图：

@foreach (Project.Framework.ModelClasses.productCategories productCategories in ViewBag.Categories)
    {           
        @Html.ActionLink(productCategories.description, "Products", "Shop", new { id = "", categoryID = productCategories.categoryID, description = productCategories.description }, null)
    }

控制器方法：

public ActionResult Products(string categoryID, string keyword, string description)
    {
        ViewBag.appPath = ConfigurationManager.AppSettings["appPath"].ToString();
        Methods Methods = new Methods();
        Methods.tokenHeader = (string)Session["token"];
        Methods.cookieContainer = (CookieContainer)Session["cookies"];

        Response shopnowProductsResponse = Methods.shopnowProductsGet(categoryID, keyword);
        if (shopnowProductsResponse.Code == "000")
        {
            List<product> products = new List<product>();
            products = (List<product>)shopnowProductsResponse.Data;

            string FPRFlag = "0";
            foreach (product product in products)
            {
                if (FPRFlag != "1")
                {
                    if (product.FPRFlag == "1")
                    {
                        FPRFlag = product.FPRFlag;
                    }
                }
                else
                {
                    goto nextState;
                }
            }
        nextState:

            ViewBag.FPRFlag = FPRFlag;
            ViewBag.Description = description;
            ViewBag.Products = products;
        }

        return View();
    }

注意：关键字是可选的

Answer 1

假设您只想对这些链接进行编码，以使最终用户无法从 URL 中抓取所有产品数据的列表，您可以通过在链接中使用替代代码来实现此目的。我会使用哈希值：

@foreach (Project.Framework.ModelClasses.productCategories category in ViewBag.Categories)
{
    @Html.ActionLink(category.description, "Products", "Shop", 
        new { 
            hc = category.categoryID.GetHashCode() 
        })
}

然后在控制器中查找哈希码而不是 categoryID。

这仍然留下两个问题：

1. 哈希码将显示在浏览器的地址栏上。
2. 哈希码列表每次都相同。

第一个问题可以通过将哈希码转换回categoryID并将结果存储在Session存储中，然后重定向到Products页面的中间操作来修复：

public ActionResult SetCategory(int hc)
{
    string catID = HashToCategoryID(hc);
    Session["categoryID"] = catID;
    return RedirectToAction("Products");
}

这不仅将用户的浏览器返回到Products 页面，还确保（在大多数情况下）SetCategory URL 甚至不会出现在浏览器历史记录中。一般来说，浏览器历史记录甚至不会显示它一开始就离开了Products 页面，因此点击Back 按钮会将它们从页面带到他们第一次进入之前的任何位置。

另一个问题 - 哈希码不改变 - 可以通过两种方式修复：用一个会随着访问而改变的值（如会话 ID）对哈希进行加盐处理，或者生成随机值并将它们存储在 @987654331 @storage 用于查找。

例如：

// after loading your products:

// something to salt the hash codes with:
string salt = (DateTime.Now - DateTime.Today).TotalMilliseconds.ToString();

// generate hash codes for all the product categories
var hashcodes = products.Select(p => new { h = (salt + p.categoryID).HashCode(), c = p.categoryID });

// create hash->categoryID dictionary and save in Session
var hashtocat = hashcodes.ToDictionary(hc => hc.h, hc => hc.c);
Session["HashToCategory"] = hashtocat;

// create categoryID->hash dictionary and save in ViewBag
var cattohash = hashcodes.ToDictionary(hc => hc.c, hc => hc.h);
ViewBag["CategoryToHash"] = cattohash; 

现在每次加载页面时，您都会得到一组不同的哈希值。然后您的链接生成变为：

@{ // grab hashcode dictionary from ViewBag
    Dictionary<string, int> hashcodes = ViewBag["CategoryToHash"] as Dictionary<string, int>;
}

@foreach (Project.Framework.ModelClasses.productCategories category in ViewBag.Categories)
{
    @Html.ActionLink(product.description, "SetCategory", new { hc = hashcodes[product.categoryID] })
}

实际上，您现在有一个一次性代码列表，该列表在用户每次重新访问Products 页面时都会过期并被新代码替换。使相同的代码在同一类别中多次运行的可能性很小，除非从同一会话中单击链接，否则它将失败。

说到失败...您需要在其中添加一堆错误处理。