MVC Razor 中的表单安全性

Question

我的项目 MVC razor C# 中有 2 个表单

View1：显示所有记录。单击特定记录即可 编辑页面。

View2：以表格形式显示所选记录以供更新。

因此，当用户提交表单时...转到 Controller...Controller Action 方法有一个 View Model 参数，该参数具有从 View 中的隐藏字段填充的 ID 属性。

有人通过浏览器的 Inspect Element 故意更改 html 中的 ID 并且数据可能会转到错误的记录。

解决此问题的一种方法是从视图模型传递加密值。但是用户仍然可以从另一条记录中交换加密值，并可以在提交表单之前通过 Inspect Element 将该加密 ID 值放入 html 中的另一条记录中。

我希望我澄清了这个问题。阅读时仍有任何问题，请让我知道再次澄清。

请提出解决方案。

Answer 1

处理此问题的最佳方法是不发布 id。相反，让 id 成为 URL 的一部分，然后如果它被改变，一个完全不同的资源正在发挥作用：

[HttpPost]
public ActionResult Edit(int id, Foo model)
{
    var foo = db.Foos.Find(id);
    if (foo == null)
    {
        return new HttpNotFoundResult();
    }

    if (ModelState.IsValid)
    {
        // map values from model (posted data) to instance from DB
        db.Entry(foo).State = EntityState.Modified;
        db.SaveChanges();
    }

    return View(model);
}