2

Por exemplo: /admin/Edit/1006 Há alguma forma de esconder esse id? Pois assim qualquer usuário mal intencionado pode alterar o valor e acabar achando um usuário. Eu sei que deve-se fazer uma verificação no controller para saber se o usuário pode ou não editar, mas falando só do ActionLink. Há alguma forma de esconder isso? Ou pelo menos "dificultar" a vida do individuo que estiver tentando acessar dados que ele não tem permissão. Pensei em utilizar GUID, mas o URL fica muito grande. Existe algum padrão, ou recomendação sobre os parametros do ActionLink?

1 Resposta 1

3

Tem algumas técnicas que você pode usar.

  1. Usar um slug;
  2. Usar um localizador;
  3. Usar outra maneira de localizar unicamente o registro, como um Id gerado.

Slug

Slug é um identificador descritivo do registro. Por exemplo, esta pergunta tem como slug esconder-parametro-do-actionlink. O problema é que pra isso funcionar corretamente o sistema deve garantir que este identificador é único. Repare que até aqui no SO usa-se um slug composto de Id + descrição.

Implementar uma rota baseada em slug exige uma reimplementação do MvcRouteHandler e registrá-lo na tabela de rotas. Essa resposta ensina como fazer isso.

Localizador

Uma outra tática é gerar um localizador para o registro, composto de uma string randômica de pelo menos 6 caracteres (assim como os localizadores de voos e passagens viárias, por exemplo). Neste caso, bastaria parametrizar a Action com um localizador e tratar localizadores inválidos.

public ActionResult PesquisarPorLocalizador(String localizador)
{
    var registro = contexto.Registros.FirstOrDefault(x => x.Localizador == localizador);
    if (registro == null) return View("NotFound");

    // Restante da lógica
}

Identificador Externo

Outra maneira seria gerar "um segundo Id" para cada registro, seguindo alguma ordem ou normativa. A solução é muito parecida com a solução por localizador. A Action receberia como parâmetro esse Id externo, preservando o Id interno do registro.

1
  • 1
    Obrigado. Acho que o localizador e uma verificação no controller deve ser o suficiente. Commented 4/01/2015 às 0:53

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .