确保仅获取属于该用户的行

Question

这对我来说很难解释,但我尽力做到最好.

我有一个具有登录权限的多个用户的应用程序.这些用户可以附加一些员工.我希望避免用户查看/编辑不属于他们的其他员工.

我有一个像这样的User类:

public class User
{
    public int ID { get; set; }
    public string Name { get; set; }

    public User()
    {
    }

    public User(int userid)
    {
        //
        // Gets the user from the database and fills the properties
        //
    }
}

像这样的Employee类:

public class Employee
{
    public int ID { get; set; }
    public string Name { get; set; }

    public Employee()
    {
    }

    public Employee(int employeeid)
    {
        //
        // Gets the employee from the database and fills the properties
        //
    }
}

这个问题就像我编辑员工时应用程序中的查询字符串一样:

〜/ EditEmployee.aspx？ID = 1

在哪里id是ID雇员的.通过快速编辑,ID我很幸运能够获取不属于当前登录用户的员工.

虽然这可以通过拥有一个来解决

public Employee GetEmployee(int id) 
{
    // Gets the employee (using this.ID as UserID) from the database
}

User对象的方法,为存储过程提供User.ID属性并检查:

SELECT * FROM EmployeeTable WHERE EmployeeID = @EmployeeID AND UserID = @UserID

但有了这个我总是必须创建一个User对象的实例来获得一个员工.

这使得Employee(int id)在对Employee对象过时.

没有别的办法吗？

对此的问题是,我处于这样的情况:我不想创建User对象的实例来获得员工,因为我100%确定我拥有正确的员工ID.(避免过多的数据库调用).

难道我真的要保持Employee(int id)在上Employee对象,并创建一个新的存储过程,不检查了上UserID？

这个例子是虚构的.解释它的最好方法莫过于粘贴数百行代码和对象.也许我太过于表现怪胎了.但我只想改进我做多个用户网站的方式.

我真的希望这能解释得很好,我尽我所能.:-)

Answer 1

我认为这里最基本的问题是你将代码/对象实例与你的DataAccess混合在一起.

我建议你分开两个.不要使用对象的构造函数作为从数据库中检索数据的方法.有一个单独的DataAccess层执行查询,然后Hydrate您的Employee对象.

如果员工数据只能在当前用户的上下文中检索,那么您需要:a)在Web会话期间保持该userId可用b)将该userId作为过滤器传递给每个数据库查询,以确保只有正确的数据退回.

• 所以只需User在开始时创建一次对象.(即他们登录时)
• 将该User对象放入Session/Cache
• 每次进入数据库时​​,将UserId以及EmployeeId传递给Query.

编辑

需要强调的是,我没有建议将会话变量混合到您的DataAccess中.您可以在Page/BasePage上拥有一些属性,用于在会话中存储用户对象.例如

public User CurrentUser {
    get { 
        return Session["CurrentUser"] != null ?
            (User) Session["CurrentUser"] :
            null;
    }
    set { Session["CurrentUser"] = value; }
}

当用户登录时,您将使用用户对象填充该对象.然后您可以随时返回并获取它.例如

protected void Page_Load(object sender, EventArgs e)
{
     var empId = //Code to get it from Query String.
     var userId = this.CurrentUser.UserId;
     Employee e = DataAccess.GetEmployee(empId, userId);
     if(e != null) 
         //Do funky stuff
}