行级安全性

Question

如何防止用户只更新数据库中的行。

例如： 用户负责一所学校。他们可以更改该学校的领域，但仅限于该学校。

因此： SchoolId、OwnerID、Name、PhoneNumber

我实现了一个函数： CanEditSchool(SchoolID) 如果用户不是特定学校的所有者，则会引发异常。

有更好的解决方案吗？我使用 linq2sql 作为 orm。

Answer 1

根据您处理数据上下文的方式，您可以在数据上下文上使用 LoadOptions。

http://msdn.microsoft.com/en-我们/库/Bb386915(v=VS.90).aspx

Answer 2

一种似乎不是最佳的解决方案是为用户创建一个视图，仅包含其管辖范围内的学校：

CREATE VIEW `v_jimmy` AS
    SELECT * FROM `schools`
    WHERE SchoolId = 5;

Answer 3

您的控制器操作应该检查您的安全功能，以确保登录用户能够编辑有问题的项目。如果没有，您应该将它们发送到“权限被拒绝”类型的页面/视图。

不过，您的 CanEditSchool 函数不需要引发异常。它的名字表明它将返回一个 bool；如果他们可以编辑，则为 true；如果不能编辑，则为 false。