在ASP.NET MVC中加載一個從路由參數中獲取其名稱的局部視圖是否安全？

Question

我想知道是否可以安全地加載從路由參數名稱的部分視圖？

例如用下面的URL

mydomain.com/home/services/selling

我所需的視圖加載命名局部視圖selling

這是在視圖中的代碼：

string SubPage = ViewBag.SubPage; 
@Html.Partial("~/Views/Pages/Services/"+SubPage) 

這是安全的還是我應該添加某種消毒？

附加信息

我如果用戶訪問在服務的意見，所有的這些觀點是通過網址導航已經接近一點也不擔心。

如果可以設置子頁面，我更感興趣，因此它會從~/Views/Pages/Services/文件夾之外加載視圖，就像帳戶文件夾中的視圖一樣。

Answer 1

如果某人可以修改SubPage以使其顯示~/Views/Pages/Services/下的頁面導致他們訪問不應被允許的路線，則會造成危害。

如果您正在使用通用訪問控制模型來驗證用戶是否被允許執行給定的控制器操作，而不會額外檢查是否允許他們使用SubPage，則可能會發生這種情況。