mvcのアクションへのアクセスを妨げる最良の方法

Question

古いmvc 1プロジェクトでは、ユーザーが詳細を編集するオプションを追加しています。私はフォーム認証を使用していません（主に前のコードを大量に変更しないでください）。そのため、現在ログに記録されているユーザーに自分の詳細を編集させる最良の方法を考えようとしています。

現在のところ、URLがhttp://localhost:61681/users/edit?userId=29の場合、他のユーザーは他のユーザーの詳細を編集するためにuserIdを変更するだけで済みます。

私が考えることができるのは、userIdがパラメータと一致するかどうかを調べる方法ですが、それを行うより良い方法があるかどうかはわかりません。

私は、私の非常に基本的な知識を示す質問を理解する原因を謝罪しましょう。

おかげ

Answer 1

なぜはパラメータとすることが、あなたは反対userIdをチェックしているユーザーIDをさせませんか？編集ページに他のユーザーの情報を編集できるようにしていない場合は、userIdパラメータを使用する理由はありません。要求を行ったユーザーを編集できるようにします。すでにログインしているユーザーそしてちょうどそれがために、ユーザのIDと一致するかどうかを確認するためのチェックを追加わかっている場合

Answer 2

if(currrentUser.Id != userId) 
    return Redirect("http://example.com/access-denied"); 

edited.If、それらを聞かせていないではありません。