ReportViewer 控制参数安全

Question

我正在考虑在自定义 Web 应用程序中的 ASP.NET Web 表单上使用 Microsoft.ReportViewer.WebForms ReportViewer 控件来显示 RDL 报告。 RDL 报告使用参数。参数之一是部门参数。只允许 A 部门的用户使用 A 作为参数的值，B 部门的用户只允许使用 B 作为参数的值，依此类推。

部门参数值（连同所有其他参数值）将以编程方式在托管 ReportViewer 控件的 ASP.NET Web 表单的逻辑代码中设置。服务器端逻辑根据用户资料查找部门参数值。报告已配置为不显示部门参数。

这是我的问题： ReportViewer 控件中是否存在任何已知的后门，用户可以通过该后门将“部门”值作为 HTTP 请求的一部分传递并获得对他们不应访问的数据的访问权限？请注意，此问题适用于简单的表格报表以及更复杂的追溯报表，其中部门可能是从主报表向下传递到追溯报表的值。

Answer 1

这在很大程度上取决于您如何使用“安全性”。如果用户可以通过 Windows 身份验证访问报告，并且他们知道报告所在的位置（我猜他们可以使用浏览器中的 F12 工具找到），那么他们当然可以在访问报告时使用他们想要的任何参数直接地。因此，最好在源数据库（或者，如果可能的话，在报表中）而不是在使用报表的 ASP.Net 应用程序中实现基于用户的限制。