2

В проекте для проверки доступности того или иного метода в gui я использую фильтры действия, пример такого фильтра ниже:

public class DisallowChangingTheApprovedOperationsAttribute : ActionFilterAttribute
{
    public IOperationService _operationService { get; set; }

    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        var valueResult = filterContext.Controller.ValueProvider.GetValue("operationId");
        if (valueResult == null || string.IsNullOrWhiteSpace(valueResult.AttemptedValue))
        {
            throw new InvalidOperationException("OperationId is not be null");
        }
        int operationId = int.Parse(valueResult.AttemptedValue);

        var result = _operationService.IsPublished(operationId);
        if (result)
        {
            if (string.Equals(filterContext.HttpContext.Request.RequestType, "Get", System.StringComparison.InvariantCultureIgnoreCase))
            {
                filterContext.Result = new RedirectResult(filterContext.HttpContext.Request.UrlReferrer.PathAndQuery);
            }
            else
            {
                filterContext.Result = new RedirectToRouteResult(filterContext.ActionDescriptor.ControllerDescriptor.ControllerName,
                    new RouteValueDictionary { { "operationId", operationId } });
            }
        }
    }
}

его предназначение не допустить изменение утвержденной Operation, методя для переданного параметра operationId проверяет состояние var result = _operationService.IsPublished(operationId); и если результат true то происходит отмена действия

Данный фильтр я применяю к необходимым мне методам: EditOperation, DeleteOperation и т.п., пример метода для редактирования ниже:

[DisallowChangingTheApprovedOperations]
public ActionResult EditOperation(int operationId)
{
    ViewBag.Products = new SelectList(_productService.GetProductList(), "Id", "Name");
    ViewBag.Equipments = new SelectList(_equipmentService.GetEquipmentList(), "Id", "SelectListName");
    ViewBag.Units = new SelectList(_unitService.GetAll(), "Id", "FullName");
    var model = _operationService.GetOperation(operationId);
    return View("EditOperation", model);
}

[HttpPost]
[DisallowChangingTheApprovedOperations]
public Actionresult EditOperation(int operationId, EditedOperation model)
{
}

Для того что бы данный метод работал мне приходится в каждый из методов таскать operationId что мне кажется не удобным/не правильным, но это еще не все.

Так же у меня есть сущность Program которая относится к Operation в соотношении 1 операция много программ, для работы с Program у меня есть методы: AddProgram, EditProgram и т.п. Мне необходимо запретить изменения операции на основании её состояния(_operationService.isPublished(int operationId)) - нельзя добавить, изменить существующие программы, для этих целей я в методы редактирования, изменения, удаления программы передаю параметр operationId и применяю к методу тот же фильтр DisallowChangingTheApprovedOperations

пример метода для редактирования программы:

[DisallowChangingTheApprovedOperations]
//здесь прочие методы
public ActionResult EditProgram(int operationId, programId)
{}

т.е. здесь я помимо id программы мне приходися передавать еще и id операции, как вариант можно реализовать метод от наследованный от ActionFilterAttribute который на основании programId будет получать состояние операции и в соответствии с некой логикой отменять или разрешать действие, т.е. что то типа

public class DisallowChangingTheApprovedOperationsForTheProgrammAttribute : ActionFilterAttribute
{
    //получаем programId из контекста
    var result = _operationService.GetOperationStateForTheProgramm(programId);
    //отменяем действия в соответствии с логикой
}

Подскажите как поступить лучше/реализовать правильней возможность ограничения некоторых действий пользователя в соответствии с некой логикой?

4
  • как клиент узнает какой opertionId слать? Если это служебный параметр, его не обязательно добавлять как параметр роута, можно просто брать его из реквеста в actionfilter
    – Grundy
    5 июл 2016 в 7:35
  • @Grundy в представлении я формирую хелпером ссылку на метод с необходимыми параметрами
    – Bald
    5 июл 2016 в 7:59
  • этот operationId используется как-то внутри методов? или только в фильтре?
    – Grundy
    5 июл 2016 в 8:00
  • @Grundy добавил в вопрос реализацию get метода EditOperation, а в методы изменения программ я его передаю только для фильтра
    – Bald
    5 июл 2016 в 8:04

1 ответ 1

4

Вы подошли к задаче не с той стороны. Прежде всего, ваш подход (вводить дополнительный параметр просто чтобы его валидировать) попросту опасен - что если хакер передаст не тот номер операции?

Подумайте вот над чем. Отмечая атрибутом действия (Action), в которых нельзя менять опубликованные операции, вы архитектурно вводите существование действий, в которых менять опубликованные операции можно (к примеру, если вы забыли указать ваш атрибут).

Проверку разрешенности действия лучше бы спрятать в более низком слое, чем слой контроллеров веб-приложения. Если у вас есть слой бизнес-логики - то именно там наиболее логичное место для подобных проверок. Если же слоя бизнес-логики нет либо он есть но плохо спроектирован и разросся - то такие правила имеет смысл включить в слой DAL.

Так, если в качестве DAL вы используете EF, это будет выглядеть примерно так:

class Context : DbContext
{
    protected override bool ShouldValidateEntity(DbEntityEntry entityEntry)
    {
        // По умолчанию удаленные сущности не валидируются - но нам-то надо!
        return entityEntry.State != EntityState.Unchanged;
    }

    protected override DbEntityValidationResult ValidateEntity(DbEntityEntry entityEntry, IDictionary<object, object> items)
    {
        if (entityEntry.Entity is Operation && entityEntry.State != EntityState.Added && IsPublishedOperation(entityEntry.Cast<Operation>()))
        {
            return new DbEntityValidationResult(entityEntry, new[] { new DbValidationError(null, "Cannot change published operation") });
        }

        if (entityEntry.State == EntityState.Deleted)
        {
            // Нам все еще не надо применять обычные правила валидации к удаленным записям
            return new DbEntityValidationResult(entityEntry, new DbValidationError[0]);
        }

        return base.ValidateEntity(entityEntry, items);
    }
}

Теперь на уровне веб-приложения останется правильно обработать ошибку валидации. Вот это можно уже сделать в фильтре.

PS аккуратнее с реализацией проверки IsPublishedOperation - надо проверять не текущее состояние операции, а исходное - в противном случае операцию будет невозможно опубликовать.

А для того, чтобы "опознать" в фильтре кастомную причину ошибки - вы можете создать наследника DbValidationError, благо он не запечатан.

1

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.