Por exemplo: /admin/Edit/1006
Há alguma forma de esconder esse id? Pois assim qualquer usuário mal intencionado pode alterar o valor e acabar achando um usuário. Eu sei que deve-se fazer uma verificação no controller para saber se o usuário pode ou não editar, mas falando só do ActionLink. Há alguma forma de esconder isso? Ou pelo menos "dificultar" a vida do individuo que estiver tentando acessar dados que ele não tem permissão. Pensei em utilizar GUID, mas o URL fica muito grande. Existe algum padrão, ou recomendação sobre os parametros do ActionLink?
1 Resposta
Tem algumas técnicas que você pode usar.
- Usar um slug;
- Usar um localizador;
- Usar outra maneira de localizar unicamente o registro, como um Id gerado.
Slug
Slug é um identificador descritivo do registro. Por exemplo, esta pergunta tem como slug esconder-parametro-do-actionlink
. O problema é que pra isso funcionar corretamente o sistema deve garantir que este identificador é único. Repare que até aqui no SO usa-se um slug composto de Id + descrição.
Implementar uma rota baseada em slug exige uma reimplementação do MvcRouteHandler
e registrá-lo na tabela de rotas. Essa resposta ensina como fazer isso.
Localizador
Uma outra tática é gerar um localizador para o registro, composto de uma string
randômica de pelo menos 6 caracteres (assim como os localizadores de voos e passagens viárias, por exemplo). Neste caso, bastaria parametrizar a Action
com um localizador e tratar localizadores inválidos.
public ActionResult PesquisarPorLocalizador(String localizador)
{
var registro = contexto.Registros.FirstOrDefault(x => x.Localizador == localizador);
if (registro == null) return View("NotFound");
// Restante da lógica
}
Identificador Externo
Outra maneira seria gerar "um segundo Id" para cada registro, seguindo alguma ordem ou normativa. A solução é muito parecida com a solução por localizador. A Action
receberia como parâmetro esse Id externo, preservando o Id interno do registro.
-
1Obrigado. Acho que o localizador e uma verificação no controller deve ser o suficiente. Commented 4/01/2015 às 0:53