Cách tốt nhất để đảm bảo người dùng đã đăng nhập chỉ thấy dữ liệu của họ

Question

Điều này nghe có vẻ giống như một câu hỏi ngu ngốc, nhưng tôi tự hỏi liệu tôi có thiếu một mẹo ở bất kỳ đâu không.

Trường hợp là, tôi có một ứng dụng web sử dụng Simple Memebership, nơi người dùng có thể đăng ký sử dụng nó (ví dụ như chương trình hóa đơn).

Tuy nhiên, họ chỉ có thể xem/cập nhật/xóa thông tin mà chính họ thêm vào cơ sở dữ liệu/ứng dụng web.

Cách tốt nhất để đảm bảo người dùng chỉ nhận được thông tin của họ là gì?

Có thêm một trường Username để mỗi bảng, ví dụ:

public class Invoice 
{ 
    public int InvoiceId { get; set; } 
    public int CustId { get; set; } 
    public string UserName { get; set; } 
} 

public class Item 
{ 
    public int ItemId { get; set; } 
    public int InvoiceId { get; set; } 
    public string UserName { get; set; } 
} 

... và sau đó trong bất kỳ bộ điều khiển truy cập vào dữ liệu, chỉ cần thêm một tấm séc cho tên người dùng trong mọi thắc mắc, ví dụ như:

var Inv = db.Invoices.Where(x => x.UserName = User.Identity.Name); 
var Itm = db.Items.Where(y => y.UserName = User.Identity.Name); 

Đó là những gì tôi đang sử dụng, nhưng tự hỏi nếu điều này là thực hành tốt nhất? Hoặc nếu có một cách đơn giản hơn bây giờ chúng ta đang lên MVC4?

Là nó tốt nhất để sử dụng UserName hoặc UserId từ UserProfile bảng, hoặc dùng nó quan trọng?

Update để thêm rõ ràng sau comments

Vì vậy, 10 người đã đăng ký - và tất cả tạo hóa đơn riêng của họ. Tôi không muốn bất kỳ người dùng nào nhìn thấy bất kỳ hóa đơn người dùng nào khác.

Cảm ơn lời khuyên nào.

Đánh dấu

Answer 1

Nếu bạn thiết lập các mối quan hệ db đúng cách, bạn sẽ có thể tham khảo ví dụ hoá đơn của người dùng như vậy:

var invoices = dbContext.Users.first(u=>u.id == idParam).Invoices; 

Bạn có thể xác minh xem hóa đơn thuộc về người dùng bằng cách kiểm tra

if(dbContext.Invoices.Any(i=>i.invoiceID))//invoice exists? 
{ 
    //Invoice belongs to user? 
    bool invoiceBelongsToUser = dbContext.Users.first(u=>u.id == idParam) 
    .Invoices.Any(i=>i.invoiceID == invoiceIDParam); 
} 

Answer 2

Bạn có thể thêm các bộ lọc AuthorizeAttribute đến tập tin global.asax để bảo vệ mọi phương pháp hành động của tất cả các bộ điều khiển.

Và bộ điều khiển không cần phải được ủy quyền:

[AllowAnonymous] 
public ActionResult LogOn() 

securing-your-asp-net-mvc-3-application

Answer 3

Những điều tôi sẽ làm là:

1. Tránh đi qua trong bất kỳ hình thức sử dụng id/chứng chỉ trong bài viết/chuỗi truy vấn, giữ nó ở đâu đó an toàn, như được mã hóa trong cookie và luôn sử dụng điều này khi tạo truy vấn của bạn

2. Nếu bạn có Id được chuyển trở lại chương trình của mình như một phần của bản chỉnh sửa, hãy đảm bảo các giá trị không bị giả mạo, nếu bạn xuất id trong trường bị ẩn, hãy đảm bảo nó giống như khi nó quay lại đã đi ra ngoài (tấn công tham chiếu trực tiếp này được gọi là)

3. nếu ứng dụng của bạn yêu cầu chỉnh sửa, chẳng hạn như client/edit/4, luôn đảm bảo id 4 thuộc về người dùng đó trước khi hiển thị.

Một số đọc tốt ở đây trên 10 lỗ hổng đầu: https://www.owasp.org/index.php/Top_10_2010-Main