Asp.net mvc如何防止瀏覽器調用操作方法？

Question

我有我的控制器（shoppingCartController）

public ActionResult Index() 
    { 
     //some stuff here 
     return View(viewModel); 
    } 


    public ActionResult AddToCart(int id) 
    { 

     return RedirectToAction("Index"); 

    } 

反正是有防止用戶直接調用在瀏覽器中鍵入URL索引操作中兩個動作？

例如：如果用戶瀏覽到shoppingCart/index被重定向到Home/Index。

Answer 1

您可以使用[ChildActionOnly]屬性上的操作方法，以確保它不是直接調用，或使用ControllerContext.IsChildAction確定您是否要重定向。

例如：

public ActionResult Index() 
{ 
    if(!ControllerContext.IsChildAction) 
    { 
     //perform redirect here 
    } 

    //some stuff here 
    return View(viewModel); 
} 

如果你不能使索引操作一個孩子的動作，你總是可以檢查引用，理解，這不是萬無一失的，可以被欺騙。請參閱：

How do I get the referrer URL in an ASP.NET MVC action?

Answer 2

嘗試使此索引控制器的操作爲private。具有private訪問修飾符的方法不應從外部類訪問。

然後，rahter比調用從AddToCart RedirectToAction稱其爲簡單的方法，象下面這樣：

private ActionResult Index() 
{ 
    //some stuff here 
    return View(viewModel); 
} 


public ActionResult AddToCart(int id) 
{ 

    return Index(); 

} 

Answer 3

如果你所擔心的是用戶鍵入的URL，然後使用HttpPost屬性應該阻止你的行動被稱爲這種方式： -

[HttpPost] 
public ActionResult AddToCart(int id) 
{ 

這樣可防止通過調用該操作獲取請求。但是，它不會阻止某人編寫虛擬表單並將其發送到您的操作。

如果您擔心的是更惡意的東西，您可能需要實施某種形式的防僞標記，但有關here的一些更好的信息。

編輯

OK，於是就重新閱讀了上面的問題並沒有完全解決您的問題。

路線怎麼樣？如果您有類似下面的內容，則會阻止ShoppingCart/Index被調用並將用戶重定向到您的網站索引。

 routes.MapRoute(
      "ShoppingCartIndex", 
      "ShoppingCart/Index", 
      new { controller = "Home", action = "Index" } 
     ); 

Answer 4

這是未經測試，但我相信你可以使用驗證防僞造令牌

在你的代碼的網頁上，您將需要安置的驗證令牌將被貼在表格：

@Html.AntiForgeryToken() 

主要生產：

<input name="__RequestVerificationToken" type="hidden" value="s9+jDREFMlNPkAT2zOlmhJZQbbDOzMhuarSTG1BVAC4GeHiNL5VtuQo7CQTF8obw8hEYIQac9YaQh+qVcF0xj0eNO7lVdezz+JxuSKGQo2d2gEdtkEdR+XTTFas4Gh6fjSYc7A1rWF8AAhxjZ9j6GlbRhECZOPAlPAItnjz49QQ=" /> 

此令牌是自動的任何回升具有此屬性的操作：

[ValidateAuthenticationToken] 
public ActionResult AddToCart(int id) 
{ 
    return Index(); 
} 

如果請求是直接的，則會發生錯誤。

Answer 5

如果啓用SessionState，則可以使用控制器的TempData來實現您的目標。在AddToCart操作中設置TempData，並且只有在Index操作可以在AddToCart操作中獲取TempData鍵時才顯示Index視圖。

如果您需要多個操作/項目，請使用自定義Action Filter和ActionResult的組合。就像這樣：

// Controller 
[PreventDirectAccess] 
public ActionResult Index() 
{ 
    //some stuff here 
    return View(viewModel); 
} 

public ActionResult AddToCart(int id) 
{ 
    return new PreventDirectAccessRedirectToRouteResult(new RouteValueDictionary 
    { 
     {"action", "Index"} 
    }); 
} 

// Filter 
public class PreventDirectAccessAttribute : ActionFilterAttribute 
{ 
    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     if (filterContext == null) 
      throw new ArgumentNullException("filterContext"); 

     if (filterContext.Controller.TempData[PreventDirectAccessRedirectToRouteResult.Executed] == null) 
      filterContext.Result = new HttpNotFoundResult(); 

     base.OnActionExecuting(filterContext); 
    } 
} 

// ActionResult 
public class PreventDirectAccessRedirectToRouteResult : RedirectToRouteResult 
{ 
    public const string Executed = "PreventDirectAccessRedirectExecuted"; 

    public override void ExecuteResult(ControllerContext context) 
    { 
     context.Controller.TempData[Executed] = true; 
     base.ExecuteResult(context); 
    } 
} 

Answer 6

下面是編寫的代碼如何防止瀏覽器直接訪問行動方法： 下面寫代碼FilterConfig.cs

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] 
public class NoDirectAccessAttribute : ActionFilterAttribute 
{ 
    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     if (filterContext.HttpContext.Request.UrlReferrer == null || 
        filterContext.HttpContext.Request.Url.Host != filterContext.HttpContext.Request.UrlReferrer.Host) 
      { 
      filterContext.Result = new RedirectToRouteResult(new 
          RouteValueDictionary(new { controller = "Home", action = "Index", area = "" })); 
     } 
    } 
} 

現在適用於你的驗證碼動作方法

[NoDirectAccess] 
public ActionResult MyActionMethod() 

這將限制直接致電任何類別或行動方法。

Answer 7

NonAction是要使用的屬性。它是MVC庫的一部分，因此您不必創建自己的屬性。