-1

Como faço para bloquear o ID do parametro da URL de um sistema que possuo, por exemplo, ao clicar em um registro ele mostra como url/Alterar/12 onde 12 seria o id por exemplo, porem se o usuário trocar o 12 pelo 13 ele consegue editar o registro 13, como faço para bloquear pra ele editar somente o registro que ele clicou, no caso o 12, como bloquear para nao ser trocado pela url?

Código da Action na Controller:

[HttpGet]
[ActionName("Analisar")]
public async Task<ActionResult> Editar(long id)
{


    var model = new AssociacaoCooperativaViewModel() { Id = id };

    if (model.Id > 0)
    {
        try
        {
            var associacao = await AssociacaoCooperativaApplicationService.ObterAssociacaoCooperativaPorIdAsync(model.Id);
            model = await AssociacaoCooperativaTransformer.TransformGravarAsync(associacao);
            model.Action = this.ControllerContext.RouteData.Values["action"].ToString();
            model.Situacao = EnumSituacaoAssociacaoCooperativa.EmAnalise;
        }
        catch (BusinessException e)
        {
            HandleBusinessException(e);
        }
        //catch(Exception e)
        //{
        //    this.ErrorMessage = e.Message;
        //}

    }

    await this.CarregarGravarViewModelAsync(model);

    return View(model);
}

desde já agradeço

12
  • Se o caso é permissão para editar, não seria mais interessante que na "action" da "controller" você verificasse se o usuário possui o privilegio para modificar esse registro?
    – SylvioT
    13/05/2019 às 20:12
  • ele possui o privilegio para editar, porem só pode editar o registro dele 13/05/2019 às 20:14
  • Então você pode verificar se o registro é dele e avisar quando não for.
    – SylvioT
    13/05/2019 às 20:32
  • Sugiro dar uma lida nas diretriz da comunidade, para criar uma boa pergunta.
    – user148754
    13/05/2019 às 22:27
  • 1
    @StandAlone no seu caso seria mais eficiente você realizar as operações críticas através de métodos POSTs, em métodos GET você sempre passará a informação através da URL 26/05/2019 às 0:17

1 Resposta 1

3
+25

Pelo que entendi da sua pergunta, o usuário tem permissão ao registro, você apenas não quer que ele fique acessando a tela editando parâmetro na URL, com base nisso eu penso nas seguintes soluções.

Solução 1 - ID Guid

A primeira solução que imagino é você utilizar um código Guid como parâmetro identificador do registro. Para não ter muitas alterações na estrutura do seu banco de dados, você poderia criar um novo campo na sua tabela que sera do tipo string/varchar que sera o ID Guid do registro, desta forma no parâmetro da URL você recebe o ID em Guid assim o usuário nunca conseguira acertar um outro Guid valido e entrar em outro registro. E você não precisaria alterar o campo ID long já existente gerando uma grande alteração no BD.

Sua URL ficaria neste modelo url/editar/0b2518ca-2100-401f-a810-ecf9a50f4e4d

Você também precisaria criar algo para gerar o Guid pros registros ja existentes e alterar a rota de criação do registro para gerar o Guid também.

Para gerar o Guid no C# é só usar o seguinte comando: Guid.NewGuid();

Solução 2 - Solicitar pagina via POST

A segunda solução que vejo seria na sua listagem dos registros, você chamar uma rota Edit via POSTe nesta rota setar o ID em uma ViewBag ou TempDatae executar um RedirectToActionenviando para rota Edit GET, e se nesta rota não tiver dados na ViewBag informado retornar um BadRequest.

Como no exemplo abaixo:

[HttpPost]
public async Task<ActionResult> RequestEdit(long id)
{
    TempData["IdRegistroSendoAlterado"] = id;

    return RedirectToAction("Edit", new { id});
}


[HttpGet]
public async Task<ActionResult> Edit(long id)
{
    if (TempData["IdRegistroSendoAlterado"] == null || 
        id != long.Parse(TempData["IdRegistroSendoAlterado"].ToString()))
        return new HttpStatusCodeResult(HttpStatusCode.BadRequest);


    // carregar seu model aqui

    TempData["IdRegistroSendoAlterado"] = id; //Coloca o id denovo na TempData para caso o usuario de F5
    return View();
}

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .