Depende.
Acho melhor categorizar por tipo de regra pra ficar mais claro.
Validações de dados
Sim, é errado. Validação de dados é uma característica do tipo de dado, portanto, de responsabilidade do Model.
Verificação de existência de registro referenciado
Não. É função do Controller verificar se o registro de outra tabela realmente existe antes de fazer qualquer atribuição. A responsabilidade do Controller é harmonizar os dados entre Models e também entre a camada de apresentação.
Auditoria de dados (log)
Depende. Se o tipo de dados a ser auditado segue um padrão de formato e dados, o melhor é usar uma biblioteca (como as que trabalham com aspectos) que interceptam o dado, ou então um ActionFilter
.
Caso contrário, não há problemas em usar isso no Controller, desde que seu Controller tenha um suporte adequado a transações.
Montar Views
Sim, muito errado. O Controller deve apenas fornecer os dados para as Views. Nunca montar HTML, por exemplo.
Isto não se aplica caso o resultado devolvido por um Controller seja um arquivo (por exemplo, uma imagem ou um PDF), ou algum formato de dados padronizado (um JSON, um XML, e assim por diante).
Há uma ressalva sobre PDFs. Existe um pacote chamado RazorPDFRazorPDF2 que monta PDFs a nível de View. Este pacote é da minha autoria, então qualquer dúvida ou se quiser reportar bugs, pode me contatar através dos meios disponíveis aqui no site (menção, chat, etc.).
Vantagens
- Simples e transparente. A regra que se vê é a regra executada de fato;
- Rápido pra desenvolver;
- Pode abarcar um único escopo transacional, diferentemente dos Services, cuja isolabilidade exige chamar vários repositórios, aumentando desnecessariamente o código.
Desvantagens
- Se o seu sistema é grande, as regras de cada método do Controller podem ficar enormes se as responsabilidades não forem bem segmentadas. Por exemplo, um método que executa múltiplas regras de negócio, insere em log, etc.;
- Se um grande conjunto de regras precisa ser executado em vários Controllers, usar uma abordagem dessa pode deixar o código deveras repetitivo (pessoalmente falando, apenas para estes casos vejo o uso de uma camada de serviços como algo positivo).