$ select和$ expand暴露Web API中的敏感數據

我試圖通過用[JsonIgnore]屬性標記它來從User表中隱藏我的PasswordHash字段。本地主機/用戶查詢得到我的用戶列表，並從結果中排除PasswordHash，但如果我編寫我的查詢：localhost/User？$ select = PasswordHash，它會返回數據，即使它應該忽略它！

我暴露我的實體框架表用戶使用ApiController與[EnableQuery] GetAll（）;方法，該方法返回IQueryable <用戶>作爲結果。請幫忙！

來源

2017-02-20 Igne B

也許你應該使用DTO，而不是將EF模型直接暴露給外部世界。 –

[在c＃中排除WebApi OData（EF）響應中的屬性]的重複（http://stackoverflow.com/questions/27781607/exclude-property-from-webapi-odata-ef-response-in-c-sharp） –

我完全同意Brian Rogers的建議，使用DTO只公開所需的字段。它很安全。

如果您決定保留現有模型，您可以查看EDM Security guide，建議使用[IgnoreDataMember]屬性。

來源

2017-02-21 07:38:41

$ select和$ expand暴露Web API中的敏感數據

回答

相關問題