代码之家 › 专栏 › 技术社区 › C. Ross trotttrotttrott

ASP.NET MVC的动态安全性

security asp.net-mvc

C. Ross trotttrotttrott · 技术社区 · 14 年前

我正在用ASP.NET MVC设计一个应用程序,通常保护操作的方法是通过属性 Authorize

[Authorize(Roles = "Managers")]
public AtionResult Info(int employeeId )

然而,在我们的设计中,应用程序是高度数据驱动的。可能允许对一组数据执行操作,但不允许对另一组数据执行操作。

//OK
http://host/Employee/Info/102

//Not OK
http://host/Employee/Info/105

我们应该使用什么模式来保证这个设计的安全性?

2 回复 | 直到 14 年前

John Farrell 14 年前

您可以创建一个派生的Authorize属性来执行您想要的任何操作。

public class DynamicSecurity : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        //go to db
        return true;
    }
}

Lee D 14 年前

您可以用来自ActionFilterAttribute类的自定义属性来修饰您的操作方法,并在OnActionExecuting方法中检查传入请求中的数据,如果不允许任何操作,则抛出安全异常/redirect/执行您需要的任何操作。

推荐文章

jpWebLearner · BenchmarkDotNet与MVC操作控制器的结合使用

1 年前

PixelScribe · 实体框架EDMX未更新ASP.NET web应用程序中的连接字符串

1 年前

ankara · 带有添加条件组的任意位置滑块

1 年前

Akshay Malvankar · 我对在asp中使用asyn、await()和run()方法感到困惑。净mvc[关闭]

2 年前

Pablo · 为什么POST-request方法返回null,但GET-request返回正确的对象

2 年前

AlÄ±yev Rufet · 无法构造某些服务(验证服务描述符的服务类型时出错:Restaurant.Data.IAppRepository

2 年前

Tom Rushton · 启动时路由错误。当ASP出现404或500错误时,cs不会重定向到控制器。NET核心MVC

3 年前

lasha · 对象引用未设置为对象的实例。在里面Net mvc框架[重复]

3 年前

Ken Janka · 迁移ASP。NET Core 5应用程序。6(使用最小网络托管模型)

3 年前

nnmmss · 根据查询字符串值激活li

3 年前