ASP.NET MVC：数据注释验证就足够了吗？

Question

我在 ASP.NET MVC 2 中广泛使用数据注释验证。这一新功能节省了大量时间，因为我现在能够在一个地方定义客户端验证和服务器端验证。然而，当我进行一些详细测试时，我意识到如果我单独依赖数据注释验证，那么有人很容易绕过服务器端验证。例如，如果我通过使用 [Required] 属性注释属性来定义必填字段，并在表单中为该必填字段放置一个文本框，则用户可以简单地从 DOM 中删除该文本框（这可以通过 Firebug 轻松完成）现在，在控制器内部的模型绑定期间，不会在该属性上触发数据注释验证。为了确保触发“必需”验证，我可以在 ModelBinding 发生后重复验证，但随后我将重复我的验证逻辑。

大家对验证有何建议？数据注释验证就足够了吗？或者是否需要重复验证以确保在所有情况下都触发验证？

后续评论： 根据下面的答案，我似乎不能单独依赖模型绑定器和数据注释验证。由于我们得出的结论是需要额外的服务器端验证，因此我的服务层是否有一种简单的方法可以根据数据注释中定义的内容触发验证？看来这将使我们两全其美......我们不需要重复验证代码，但我们仍然会确保即使 Model Binder 不触发验证也会执行它。

我将将此后续评论作为一个单独的问题发布，因为它提出了与原始问题不同的问题。

Answer 1

我认为要对安全性保持警惕，您应该选择将服务器验证作为优先事项，并确保这始终是您的后备措施。您的服务器验证应该在没有客户端验证的情况下工作。客户端验证更多的是针对用户体验，尽管这对您的设计至关重要，但它对于安全性来说是次要的。考虑到这一点，您会发现自己在重复验证。一个目标通常是尝试设计您的应用程序，以便尽可能集成服务器和客户端验证，以减少在服务器和客户端上验证所需的工作。但请放心，您必须两者都做。

如果绕过客户端验证（通过 DOM 操作）就避免了服务器验证（您似乎表明了这一点），那么您对此实例的服务器验证可能无法正确使用。您应该在控制器操作或服务层中再次调用服务器验证。您描述的场景不应破坏您的服务器验证。

对于您描述的场景，DataAnnotation 属性方法应该足够了。看来您只需要进行一些代码更改即可确保在提交表单时也调用服务器验证。

Answer 2

我将 xVal 与 DataAnnotations 配对，并编写了自己的操作过滤器，用于检查任何实体类型参数以进行验证。因此，如果回发中缺少某些字段，该验证器将填充 ModelState 字典，从而使模型无效。

先决条件：

• 我的实体/模型对象都实现 IObjectValidator 接口，该接口声明 Validate() 方法。
• 我的属性类名为 ValidateBusinessObjectAttribute
• xVal 验证库

操作过滤器代码：

public void OnActionExecuting(ActionExecutingContext filterContext)
{
    IEnumerable<KeyValuePair<string, object>> parameters = filterContext.ActionParameters.Where<KeyValuePair<string, object>>(p => p.Value.GetType().Equals(this.ObjectType ?? p.Value.GetType()) && p.Value is IObjectValidator);
    foreach (KeyValuePair<string, object> param in parameters)
    {
        object value;
        if ((value = param.Value) != null)
        {
            IEnumerable<ErrorInfo> errors = ((IObjectValidator)value).Validate();
            if (errors.Any())
            {
                new RulesException(errors).AddModelStateErrors(filterContext.Controller.ViewData.ModelState, param.Key);
            }
        }
    }
}

我的控制器操作定义如下：

[ValidateBusinessObject]
public ActionResult Register(User user, Company company, RegistrationData registrationData)
{
    if (!this.ModelState.IsValid)
    {
        return View();
    }
    ...
}

Answer 3

DataAnnotation 当然是不够的。我还广泛使用它来预先验证对域模型的调用，以获得更好的错误报告并尽早失败。

不过，您可以自己调整 DataAnnotation 模型，以确保必须发布带有 [Required] 的属性。 （今天晚些时候将跟进代码）。

更新
获取 DataAnnotations Model Binder 的源代码并在 DataAnnotationsModelBinder.cs 中找到此行，

// Only bind properties that are part of the request
if (bindingContext.ValueProvider.DoesAnyKeyHavePrefix(fullPropertyKey)) {

将其更改为

// Only bind properties that are part of the request
bool contextHasKey = bindingContext.ValueProvider.DoesAnyKeyHavePrefix(fullPropertyKey);
bool isRequired = GetValidationAttributes(propertyDescriptor).OfType<RequiredAttribute>().Count() > 0;
if (contextHasKey || (!contextHasKey && isRequired)) {

Answer 4

我通过复制 xVal 的 DataAnnotationsRuleProvider 和 Microsoft 的 DataAnnotationsModelBinder（以及 Martijn 的评论）中的模式，为 MVC 1.0 编写了自己的 ValidationService。服务接口如下：

public interface IValidationService
{
    void Validate(object instance);

    IEnumerable<ErrorInfo> GetErrors(object instance);
}

public abstract class BaseValidationService : IValidationService
{
    public void Validate(object instance)
    {
        var errors = GetErrors(instance);

        if (errors.Any())
            throw new RulesException(errors);
    }

    public abstract IEnumerable<ErrorInfo> GetErrors(object instance);
}

该服务是一个验证运行程序，它遍历它接收的对象实例的属性树，并实际执行它在每个属性上找到的验证属性，当属性无效时构建 ErrorInfo 对象列表。 （我会发布整个源代码，但它是为客户端编写的，我还不知道我是否有权这样做。）

然后，您可以在准备好时让控制器、业务逻辑服务显式调用验证，而不是完全依赖模型绑定器进行验证。

您还应该注意其他几个陷阱：

• 数据中的默认 DataTypeAttribute
  注释实际上并没有做任何事情
  数据类型验证，所以你需要
  编写一个新属性
  实际上使用 xVal 正则
  表达式（或其他东西）
  执行服务器端数据类型
  验证。
• xVal 不会走路
  用于创建客户端的属性
  验证，所以你可能想要
  进行一些更改以变得更加强大
  客户端验证。

如果我被允许并且有时间，我会尝试提供更多资源......

Answer 5

请参阅 codeProject 使用数据注释进行服务器端输入验证< /a>

输入验证可以在客户端自动完成
ASP.NET MVC 或根据规则显式验证模型。这
提示将描述如何在服务器端手动完成
ASP.NET 应用程序或 WPF 存储库代码中
应用程序。

 // 使用 ValidationContext 根据产品数据注释验证产品模型
        // 保存到数据库之前
        var validationContext = new ValidationContext(productViewModel, serviceProvider: null, items:null);
        var validationResults = new List();

        var isValid = Validator.TryValidateObject(productViewModel,validationContext,validationResults,true);