部分视图是限制用户访问的好方法吗？

Question

我过去曾使用局部视图来拆分大视图。但是，它们是限制用户访问的好方法吗？在我当前的设置中，未经授权的用户可以访问部分视图吗？

View:
    @if (ViewBag.UserType == 1)
    {
        @Html.Partial("PartialView/_StandardUser");
    }
    else if (ViewBag.UserType == 2)
    {
        @Html.Partial("PartialView/_AdminUser");
    }

Controller:
    public ActionResult Index()
    {
        ViewBag.UserType = 2;
        return View();
    }

Answer 1

Razor 视图在服务器上呈现。所以最终用户只能看到逻辑的结果。如果您不依赖某些外部参数（由客户端/用户发送），例如。指示特权的查询/路由/其他参数是可以的（当然，如果您正在授权/验证用户应该是这样 - 使用授权属性，然后关于特权做一些逻辑）。但是，如果这两个是完全分开的（不使用不是布局一部分的 html 的同一部分），我宁愿拆分它们，因为我看不到在视图中执行逻辑的任何好处。

Answer 2

这样您可以限制用户访问，并且部分视图不能被未经授权的用户访问。

另一方面，更好的方法是使用用户角色来限制访问。例如：

View:
    @if (Request.IsAuthenticated && User.IsInRole("Administrators"))
    {
        @Html.Partial("PartialView/_AdminUser");
    }
    else if (Request.IsAuthenticated && User.IsInRole("StandardUses"))
    {
        @Html.Partial("PartialView/_StandardUser");
    }

Controller:
    [Authorize(Users = "Administrators,StandardUses")]
    public ActionResult Index()
    {
        return View();
    }

Answer 3

但是它们是限制用户访问的好方法吗？

我会说不，不是从安全的角度，而是从可维护性的角度。视图应该是数据的 Html 表示。为了可维护性，应尽可能限制直接在视图中混合逻辑。

所以下面的逻辑

@if (ViewBag.UserType == 1)
{
  Html.RenderPartial("PartialView/_StandardUser");
}
else if (ViewBag.UserType == 2)
{
  Html.RenderPartial("PartialView/_AdminUser");
}

可以简单地替换为：

查看：

@{Html.RenderAction("UserView");

控制器方法：

public class SomeController
{
  public ActionResult UserView()
  {
    if (ViewBag.UserType == 1)
    {
      return Partial("PartialView/_StandardUser");
    }
    else if (ViewBag.UserType == 2)
    {
      return Partial("PartialView/_AdminUser");
    }
    return new EmptyResult();
  }
}

在我当前的设置中，未经授权的用户可以访问部分视图吗？

如果您提供的代码是返回这些分音的唯一代码，那么答案是是。但是，它的逻辑隐藏在视图中，我绝不会推荐。