ASP.NET MVC में मॉडल गुणों को पढ़ना बंद करें

अपने आखिरी लेख में , मैंने ASP.NET MVC में लिखे वेब अनुप्रयोगों में मॉडल गुणों के संपादन से संभावित सुरक्षा विकल्पों में से एक पर विचार किया। यह लेख विशिष्ट उपयोगकर्ता भूमिकाओं द्वारा एक मॉडल के कुछ गुणों के पढ़ने पर रोक लगाने के विकल्पों में से एक पर विचार करने के लिए समर्पित होगा।

कार्य

मान लीजिए कि एक ClientViewModel क्लास है।

public class ClientViewModel { public int Id { get; set; } public string Name { get; set; } public string Inn { get; set; } } 

ViewModel का एक विशिष्ट उदाहरण एक्शन विधि में प्राप्त होने के बाद, इसे अपने सभी मेटाडेटा के साथ व्यू के लिए एक पैरामीटर के रूप में पास किया जाता है। सभी मॉडल फ़ील्ड पृष्ठ पर प्रदर्शित किए जाते हैं।



लेकिन क्या होगा यदि इन फ़ील्ड के मूल्य को कुछ उपयोगकर्ता भूमिकाओं में नहीं दिखाया जा सकता है? यह एक तंत्र विकसित करना आवश्यक है, जो घोषित रूप से उन भूमिकाओं को इंगित करने की अनुमति देगा जिनके लिए कुछ संपत्तियों को पढ़ना मना है।

समाधान का विचार

मॉडल को दृश्य में स्थानांतरित करने के क्षण में, इसे इंटरसेप्ट करें, और यदि उपयोगकर्ता ऐसी भूमिका से संबंधित है जिसे पढ़ने के लिए मना किया गया है, तो संपत्ति के मूल्य को संबंधित संदेश के साथ बदलें।

निर्णय

मॉडल गुणों पर लागू DenyReadRolesAttribute विशेषता बनाएँ। यह उन भूमिकाओं को सूचीबद्ध करेगा जो पढ़ने से प्रतिबंधित हैं।

 [AttributeUsage(AttributeTargets.Property, AllowMultiple = false)] public class DenyReadRolesAttribute : Attribute, IMetadataAware { public string Roles { get; set; } public void OnMetadataCreated(ModelMetadata metadata) { if (Roles.Split(',').Any(IsUserInRole)) metadata.Model = metadata.SimpleDisplayText = " "; } private bool IsUserInRole(string roleName) { return HttpContext.Current != null && HttpContext.Current.User != null && HttpContext.Current.User.IsInRole(roleName); } } 

मॉडल मेटाडेटा को संशोधित करने में सक्षम होने के लिए विशेषता को IMetadataAware इंटरफ़ेस को लागू करना चाहिए। केवल OnMetadataCreated इंटरफ़ेस विधि निर्धारित करती है कि उपयोगकर्ता की कम से कम एक भूमिका निषिद्ध सूची से संबंधित है या नहीं। यदि एक है, तो संपत्ति के मूल्य और इसके स्ट्रिंग प्रतिनिधित्व को "पढ़ना निषिद्ध है" पाठ के साथ बदल दिया जाता है।
इसके अलावा, बाध्यकारी के समय वेब फॉर्म से मॉडल के लिए संरक्षित गुणों के हस्तांतरण पर रोक लगाना आवश्यक है, ताकि उपयोगकर्ता द्वारा किए गए संदेश पाठ या परिवर्तन मॉडल में वापस न आएं। इसके लिए, मैंने "ASP.NET MVC में मॉडल गुणों के संपादन का निषेध" लेख में जो उदाहरण दिया, वह उपयुक्त है। आपको निम्न प्रकार से कस्टममोडेलबाइंडर वर्ग में BindProperty विधि को थोड़ा संशोधित करने की आवश्यकता है:

 public class CustomModelBinder : DefaultModelBinder { protected override void BindProperty(ControllerContext controllerContext, ModelBindingContext bindingContext, System.ComponentModel.PropertyDescriptor propertyDescriptor) { var d = propertyDescriptor.Attributes.OfType<DenyReadRolesAttribute>().FirstOrDefault(); if (d != null && d.Roles.Split(',').Any(r => controllerContext.HttpContext.User.IsInRole(r))) return; base.BindProperty(controllerContext, bindingContext, propertyDescriptor); } } 

और इसे डिफ़ॉल्ट global.asax.cs बाइंडिंग के रूप में सेट करें:

 protected void Application_Start() { AreaRegistration.RegisterAllAreas(); ModelBinders.Binders.DefaultBinder = new CustomModelBinder(); RegisterGlobalFilters(GlobalFilters.Filters); RegisterRoutes(RouteTable.Routes); } 

अब यह एक नई विशेषता के साथ चिह्नित करने के लिए बनी हुई है ViewModel फ़ील्ड्स को छिपाया जाना चाहिए, यह दर्शाता है कि भूमिकाओं की अल्पविराम से अलग की गई सूची जिसे पढ़ने की अनुमति नहीं है।

 public class ClientViewModel { [DisplayName("")] public int Id { get; set; } [DisplayName("")] public string Name { get; set; } [DisplayName("")] [DenyReadRoles(Roles = "User")] public string Inn { get; set; } } 

परिणाम

अब, जब डेटा के साथ काम करते हैं, तो एक उपयोगकर्ता जो दृश्य के संबंधित क्षेत्रों में इन की संपत्ति को पढ़ने से प्रतिबंधित है, चाहे वह पढ़ने के लिए एक पृष्ठ हो या संपादन के लिए एक वेब प्रपत्र, पाठ को देखेगा "पढ़ना निषिद्ध है।" संपादन रूप में उनके लिए किए गए बदलावों को भी नजरअंदाज किया जाएगा।