2

Preciso evitar no ASP.Net MVC que um usuário simplesmente mudando a URL da página tenha acesso a outros dados.

Exemplo, ele pode acessar a página www.dominio.com.br/usuario/1 e preciso bloquear que ele simplesmente trocando o final (www.dominio.com.br/usuario/2) tenha acesso a outro usuário.

Esses links acessariam o controller Usuario e a Action HttpGet Index(int id).

1
  • Como sua verificação tem que ser feita em cima de dados, não vejo outra alternativa a não ser você fazer um if e conferir o id da Action com o id do usuário logado e disparar uma exception caso não bata. Normalmente as regras são feitas em cima de actions ou controllers, como a sua é feita em cima de dados você vai precisar verificar isso dentro do controller e disparar a exception. 24/03/2016 às 12:29

2 Respostas 2

1

Você não tem como bloquear a URL. Neste caso, você tem que fazer o controle dentro da sua Action. Se o usuário logado for o 1 (por session, cookie ou qualquer forma de controle que você tenha), e tentar acessar o 2, você verifica se é o usuário logado é o mesmo que está tentando buscar as informações, se não for você vai para outra Action. Exemplo abaixo:

[Authorize]
public ActionResult Usuario(int id)
{
    var usuarioLogado = UsuarioServico.SessaoUsuarioLogado();

    // Sua logica de validação, eu uso session
    if (id != usuarioLogado.UsuarioID)
    {
      return RedirectToAction("Sem Acesso", "Usuario");
    }

    using (var db = new Conexao())
    {
        var usuario = db.Usuario.Find(id);
        return View(usuario);
    }
}

Função Sessão Usuário Logado

public static UsuarioLogadoDTO SessaoUsuarioLogado()
{
    return HttpContext.Current.Session[Constante.sessaoUsuarioLogado] as UsuarioLogadoDTO;
}
-1

Acredito que a melhor opção seria você mudar um pouco a maneira que você acessa ela, se o usuário só pode ver os seus próprios dados então talvez você nem passaria para a action o id. Como e o seu sistema de login, se é controlado por sessão ao chamar essa action você poderia pegar informações da sessão para realizar a busca das informações, assim sempre que o usuário acessar esta action ele só terá acesso as suas próprias informações.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .