防止某些字段被 .NET Azure Web Api 中的 PATCH 覆盖

Question

我正在创建一个带有 .NET 后端的 Azure 移动服务，该后端使用 TableController（ApiController 的子类）来处理 REST 请求。

在我的 PATCH 方法中，我想限制允许更新的字段集。我有一个 AccountController，我不希望字段 Username 和 UserId 被覆盖。

public class AccountController : TableController<Account>
{
...
// PATCH tables/TodoItem/48D68C86-6EA6-4C25-AA33-223FC9A27959
   public Task<Account> PatchAccount(string id, Delta<Account> patch)
   {            
            return UpdateAsync(id, patch);          
   }
...
}

如果连接到 API 的客户端尝试更新用户名或用户 ID，我想发回一个有意义的 HTTP 响应，例如 403: Forbidden 或类似的。所以我需要一些方法来了解 Delta 补丁的内容，或者在更新“禁止”字段时自动响应。

Answer 1

不确定是否有内置方法可以做到这一点。但是，您可以解决此问题。创建新属性，比如NonEditable。

public class NonEditableAttribute: Attribute 
{
}

将此属性应用于您不想修补的属性。

public class Account
{
   [NonEditable]
   public string UserName {get;set;}

   ... other properties
}

编写一些辅助方法来检查 Delta<T> 上更改的属性是否包含这些不可编辑的属性。

public bool IsValidDelta<T>(Delta<T> delta) where T: class
{
   // list of property names that can't be patched
   var nonEditablePropertyNames = from p in typeof(T).GetProperties()
                    let attr = p.GetCustomAttribute(typeof(NonEditableAttribute))
                    where attr != null
                    select p.Name;
   // list of property names that were changed
   var changedPropertyNames = delta.GetChangedPropertyNames();

   // check if changedPropertyNames contains any of propertyNames, 
   // if yes return false, if no return true;
}

现在，在您的 ApiController 中，只需检查 Delta<T> 是否包含已更改的不可编辑的属性

public class AccountController : TableController<Account>
{
...
// PATCH tables/TodoItem/48D68C86-6EA6-4C25-AA33-223FC9A27959
   public Task<Account> PatchAccount(string id, Delta<Account> patch)
   {    
       if(IsValidDelta(patch))        
            return UpdateAsync(id, patch);          
       else
          // forbidden...
   }
...
}

请注意：代码未经测试，可以更好地设计。这是为了给你一个大致的想法 - 将其视为伪代码。