我正在设计一个 MVC 3 应用程序，其中多个租户驻留在一个数据库中。
防止用户在 MVC 中编辑/查看其他租户数据的最佳方法是什么？ （即有人可以输入“/People/Edit/1”并编辑 ID 为 1 的人——无论他们是否是租户数据的一部分）。
我知道我可以为每个控制器覆盖“OnActionExecuting(ActionExecutingContext filterContext)” - 但是必须单独处理每个操作听起来很疯狂，根据它是 POST 还是 GET 来获取 ID 或 OBJECT，然后检查操作是否是允许的。
有更好的想法吗？
另外，我不想为每个租户创建不同的数据库或架构。
提前致谢。
【问题讨论】：
标签： asp.net-mvc asp.net-mvc-3 security
不要将 id 传递给您的控制器操作，而是为您的实体编写一个自定义模型绑定器，该绑定器将从数据库中获取它。因此，例如让我们假设您有以下模型：
public class Person
{
public string Id { get; set; }
... some other properties
}
现在而不是：
[HttpPost]
public ActionResult Edit(string id)
{
...
}
写：
[HttpPost]
public ActionResult Edit(Person person)
{
...
}
然后为 Person 编写一个自定义模型绑定器：
public class PersonModelBinder : IModelBinder
{
public object BindModel(ControllerContext controllerContext, ModelBindingContext bindingContext)
{
var id = bindingContext.ValueProvider.GetValue("id");
// check if an id was provided and if the user is authenticated
if (!controllerContext.HttpContext.User.Identity.IsAuthenticated || id == null)
{
throw new HttpException(403, "Forbidden");
}
var currentUser = controllerContext.HttpContext.User.Identity.Name;
// fetch the person from your repository given the id and belonging
// to the currently authenticated user
var person = _repository.GetPerson(id.AttemptedValue, currentUser);
if (person == null)
{
// no person found matching
throw new HttpException(403, "Forbidden");
}
return person;
}
}
您将在Application_Start注册：
ModelBinders.Binders.Add(typeof(Person), new PersonModelBinder());
【讨论】：
原答案
要快速解决问题，请使用 guid 而不是自动增加的整数。然而，这只是在拖延问题。
您可以做的其中一件事是角色您自己的授权属性http://msdn.microsoft.com/en-us/library/system.web.mvc.authorizeattribute.aspx 或者您可以选择创建一个全局操作过滤器。 http://www.asp.net/mvc/tutorials/understanding-action-filters-cs
根据评论中的要求添加有关如何执行此操作的信息
public class MySuperFilter : ActionFilterAttribute
{
//Called by the MVC framework before the action method executes.
public override void OnActionExecuting(ActionExecutingContext filterContext)
{
String user = filterContext.HttpContext.User.Identity.Name;
int id = int.Parse(filterContext.RouteData.GetRequiredString("Id"));
if (!IsValidUser(user,id))
{
filterContext.Result = new RedirectToRouteResult(
new RouteValueDictionary {{ "Controller", "YourController" },
{ "Action", "YourAction" } });
}
base.OnActionExecuting(filterContext);
}
private bool IsValidUser(string user,int id)
{
//Check if the user has acces to the page
return true;
}
}
【讨论】：
这是一个不优雅的解决方案，但根据范围，它可能是最简单的。设计了一个类似的系统，它对多个租户数据的入口点相对较少，我们只需检查 CurrentUser 是否是正在查询的对象的所有者。我们使用的对象是一个具有所有者字段的公共基础接口，因此检查不是针对特定对象进行的，而只是来自接口。如果存在不匹配，我们会抛出安全异常并记录用户可能正在使用查询字符串，看看他们是否让我们的网站像许多生产网站那样泄露数据。
【讨论】：