ASP.NET MVC UpdateModel容易受到黑客攻击？

Question

我有一个类似日历的ASP.NET MVC应用程序.根据NerdDinner示例,我使用UpdateMethod()更新编辑页面的结果

在我的应用中,某些事件是完全可自定义的,某些事件只能部分自定义.即使编辑部分可自定义事件的编辑表单只有这些字段可用,显然有人可以使用缺少的数据创建自己的表单并发布到我的网站.如果他们这样做,有什么可以阻止某人改变任何/所有领域？更糟糕的是,如果他们试图更改id(主键)怎么办？

感觉UpdateModel()容易受到非常基本的黑客攻击.我的恐惧是合法的还是我缺少的东西？

// POST: /MyEvents/Edit/2
[AcceptVerbs(HttpVerbs.Post), Authorize]
public ActionResult Edit(int id, FormCollection formValues)
{
    MyEvent myevent = eventRepository.GetMyEvent(id);

    try
    {
        UpdateModel(myevent);
        eventRepository.Save();
        return RedirectToAction("Details", new { id = myevent.MyEventId });
    }
    catch
    {
        ModelState.AddRuleViolations(myevent.GetRuleViolations());
        return View(new MyEventFormViewModel(myevent));
    }
}

Answer 1

你错过了"模型绑定安全性"一节.您应该始终包含可以通过任何用户输入方法更新的属性白名单.

例如,来自NerdDinner:

[AcceptVerbs(HttpVerbs.Post)]
public ActionResult Create( [Bind(Include="Title, Address")] Dinner dinner)
{

}

或者,如果您正在调用UpdateModel,则可以创建允许属性的字符串数组,并执行此操作

UpdateModel(myObject, allowedProperties);

您可以自己锁定类,以便只有某些属性可以更新.

[Bind(Include="MyProp1,MyProp2,MyProp3")]
public partial class MyEntity { }

Answer 2

你的担心是正确的.这称为质量分配.您可以通过使用BindAttribute标记类并设置Exclude/Include属性来保护代码.