ASP.NET MVCの隠しフォームフィールドよりも安全なものは何ですか？ ASP.NET MVC（デフォルトのルーティング）では

Question

、私は顧客を編集するためのフォームとビューを返すために、次のようにURLを使用したい：

/Customers/Edit/5 

私はCustomerId=5を利用するために必要がありますが、私は今、私が使用してIDを非表示にするit.Rightを変更するために顧客を許可したくない：これは私が欲しいものを達成し

<%= Html.Hidden("CustomerId") %> 

が、私は、隠しフォーム変数が確保されていないという印象の下だと、エンドユーザが操作することができます。

お客様が情報を編集でき、IDは編集できないようにするにはどうすればよいですか？

Answer 1

に応じて私のソリューションは、Steven Sanderson's ASP.NET MVC bookからタンパープルーフコードを使用することでした。スティーブンのコードは、その後のCustomerIdの別のハッシュを計算し、それがCustomerIdHashに等しい一定になり、フォームが送信されると

<%= Html.Hidden("CustomerId") %> 
<%= Html.Hidden("CustomerIdHash") %> 

：アイデアは、あなたが証拠を改ざんしたい任意の非表示のフォームフィールドのハッシュを作成することです。そうであれば、改ざんは発生していない。それは素晴らしいコードであり、本の価格に見合う価値があります。

Answer 2

ブラウザ側では本当のセキュリティはありません。顧客IDはクエリ文字列に入れることができますが、サーバーは実際にその顧客を編集することが許可されているかどうかを検証する必要があります。そうでない場合は、エラーを返します。

Answer 3

対応するビューを表示する前に、コントローラアクション（/ Customers/Edit）のアクセス許可を確認してください。ここで問題となっているのは、非表示のフィールドではありません。ユーザーはブラウザに「http://yoursite.com/Customers/Edit/10」と入力するだけです。したがって、アクションをどのように呼び出すかにかかわらず、ユーザーがリクエストされた顧客の詳細を実際に編集できるかどうか、アクションをチェックインする必要があります。

Answer 4

2つの側面があります。

• すべてのユーザーについて、すべての顧客を編集することができない場合があります。したがって、ドミトリーが示唆するように、フォームのポストのコントローラアクションは、編集しようとしている顧客を見て、ログインしたユーザーが実際にその顧客を編集できることを確認する必要があります。また、最初に編集フォームを生成するコントローラアクションで同様のチェックを行い、要求された顧客を編集することが許可されていない場合でもフォームにアクセスさせないようにすることもできます。
• 特定のユーザーと特定の顧客について、ユーザーが顧客IDを変更できないようにすることはおそらくありません。 POSTコントローラアクションでUpdateModelメソッドを使用している場合は、プロパティwhitelistパラメータを使用し、IDプロパティを除外して、ユーザーがIDを変更しないようにする必要があります。隠しフィールドの値を変更しても、変更された値はホワイトリストを介してUpdateModelによって無視されます。

Answer 5

私は同じ問題を抱えています。私はその解決策に代理キーの使用が関係していると考えています。 ID列がある各テーブルでは、Guid（SQLサーバーの一意識別子）であるKey列も追加します。今、ジョインや内部ロジックを行うときに私はIDを使用しますが、コントローラはすべてキーを使用します。それはGuidなので、別のレコードのGuidが何であるかを推測するのは難しいです。

代わりに（または上記に加えて）あなたが隠しフィールドを暗号化することができThis article

Answer 6

改ざんされていない隠しフィールドは、すべてうまくいいですが、それでもまだわかりにくいセキュリティです。コントローラーとアクションを確保することによって、Webサイト、具体的にはMVCを保護することが常にベストです。その後、ユーザーは自分が望むすべてのものを改ざんすることができ、どこにも行かない。