Asp.net mvc如何防止浏览器调用操作方法？

Question

我有我的控制器（shoppingCartController）

public ActionResult Index() 
    { 
     //some stuff here 
     return View(viewModel); 
    } 


    public ActionResult AddToCart(int id) 
    { 

     return RedirectToAction("Index"); 

    } 

反正是有防止用户直接调用在浏览器中键入URL索引操作中两个动作？

例如：如果用户浏览到shoppingCart/index被重定向到Home/Index。

Answer 1

您可以使用[ChildActionOnly]属性上的操作方法，以确保它不是直接调用，或使用ControllerContext.IsChildAction确定您是否要重定向。

例如：

public ActionResult Index() 
{ 
    if(!ControllerContext.IsChildAction) 
    { 
     //perform redirect here 
    } 

    //some stuff here 
    return View(viewModel); 
} 

如果你不能使索引操作一个孩子的动作，你总是可以检查引用，理解，这不是万无一失的，可以被欺骗。请参阅：

How do I get the referrer URL in an ASP.NET MVC action?

Answer 2

尝试使此索引控制器的操作为private。具有private访问修饰符的方法不应从外部类访问。

然后，rahter比调用从AddToCart RedirectToAction称其为简单的方法，象下面这样：

private ActionResult Index() 
{ 
    //some stuff here 
    return View(viewModel); 
} 


public ActionResult AddToCart(int id) 
{ 

    return Index(); 

} 

Answer 3

如果你所担心的是用户键入的URL，然后使用HttpPost属性应该阻止你的行动被称为这种方式： -

[HttpPost] 
public ActionResult AddToCart(int id) 
{ 

这样可防止通过调用该操作获取请求。但是，它不会阻止某人编写虚拟表单并将其发送到您的操作。

如果您担心的是更恶意的东西，您可能需要实施某种形式的防伪标记，但有关here的一些更好的信息。

编辑

OK，于是就重新阅读了上面的问题并没有完全解决您的问题。

路线怎么样？如果您有类似下面的内容，则会阻止ShoppingCart/Index被调用并将用户重定向到您的网站索引。

 routes.MapRoute(
      "ShoppingCartIndex", 
      "ShoppingCart/Index", 
      new { controller = "Home", action = "Index" } 
     ); 

Answer 4

这是未经测试，但我相信你可以使用验证防伪造令牌

在你的代码的网页上，您将需要安置的验证令牌将被贴在表格：

@Html.AntiForgeryToken() 

主要生产：

<input name="__RequestVerificationToken" type="hidden" value="s9+jDREFMlNPkAT2zOlmhJZQbbDOzMhuarSTG1BVAC4GeHiNL5VtuQo7CQTF8obw8hEYIQac9YaQh+qVcF0xj0eNO7lVdezz+JxuSKGQo2d2gEdtkEdR+XTTFas4Gh6fjSYc7A1rWF8AAhxjZ9j6GlbRhECZOPAlPAItnjz49QQ=" /> 

此令牌是自动的任何回升具有此属性的操作：

[ValidateAuthenticationToken] 
public ActionResult AddToCart(int id) 
{ 
    return Index(); 
} 

如果请求是直接的，则会发生错误。

Answer 5

如果启用SessionState，则可以使用控制器的TempData来实现您的目标。在AddToCart操作中设置TempData，并且只有在Index操作可以在AddToCart操作中获取TempData键时才显示Index视图。

如果您需要多个操作/项目，请使用自定义Action Filter和ActionResult的组合。就像这样：

// Controller 
[PreventDirectAccess] 
public ActionResult Index() 
{ 
    //some stuff here 
    return View(viewModel); 
} 

public ActionResult AddToCart(int id) 
{ 
    return new PreventDirectAccessRedirectToRouteResult(new RouteValueDictionary 
    { 
     {"action", "Index"} 
    }); 
} 

// Filter 
public class PreventDirectAccessAttribute : ActionFilterAttribute 
{ 
    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     if (filterContext == null) 
      throw new ArgumentNullException("filterContext"); 

     if (filterContext.Controller.TempData[PreventDirectAccessRedirectToRouteResult.Executed] == null) 
      filterContext.Result = new HttpNotFoundResult(); 

     base.OnActionExecuting(filterContext); 
    } 
} 

// ActionResult 
public class PreventDirectAccessRedirectToRouteResult : RedirectToRouteResult 
{ 
    public const string Executed = "PreventDirectAccessRedirectExecuted"; 

    public override void ExecuteResult(ControllerContext context) 
    { 
     context.Controller.TempData[Executed] = true; 
     base.ExecuteResult(context); 
    } 
} 

Answer 6

下面是编写的代码如何防止浏览器直接访问行动方法： 下面写代码FilterConfig.cs

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] 
public class NoDirectAccessAttribute : ActionFilterAttribute 
{ 
    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     if (filterContext.HttpContext.Request.UrlReferrer == null || 
        filterContext.HttpContext.Request.Url.Host != filterContext.HttpContext.Request.UrlReferrer.Host) 
      { 
      filterContext.Result = new RedirectToRouteResult(new 
          RouteValueDictionary(new { controller = "Home", action = "Index", area = "" })); 
     } 
    } 
} 

现在适用于你的验证码动作方法

[NoDirectAccess] 
public ActionResult MyActionMethod() 

这将限制直接致电任何类别或行动方法。

Answer 7

NonAction是要使用的属性。它是MVC库的一部分，因此您不必创建自己的属性。