当用户只能访问父对象时，如何构建子对象的安全性

Question

我有一个类似于以下内容的数据库结构：

User
----
Id
Name

UserCustomerLink
----------------
UserId
CustomerId

Customer
--------
Id
Name

Address
-------
Id
CustomerId
Address1

Invoice
-------
Id
AddressId
Number

这是一个 asp.net mvc 站点，因此用户可以访问像 http://localhost/invoice/details/1 这样的地址，该地址将返回发票id 为 1。

用户需要登录并分配给发票（通过地址）所属的客户（通过 UserCustomerLink 表）。

我的问题是我应该在哪里检查用户是否可以查看发票？

我应该检查发票是否存在并且用户可以查看它然后从数据库返回它，或者我应该从数据库检索该项目然后检查？

我担心为查找此信息而执行的数据库查询的数量，并且我正在寻找一种有效的方法。这是结构的简单视图，一些子属性的深度超过 3。

在站点注释中，我首先使用实体​​框架代码，因此如果有一种方法可以创建在发票对象中包含客户 ID 的映射，则可能可以解决此问题。

Answer 1

没有理由两次访问数据库。您可以使用联接并进行一项选择。您的所有表都有链接记录的外键。当查询返回时，您检查用户是否链接到该发票。你可以使用 LINQ 做同样的事情

SELECT 
    i.*,
    c.Name
FROM 
    INVOICE i JOIN 
    Address a JOIN
        on i.addressId = a.id
    Customer c JOIN
        on a.customerID = c.id
    UserCustomerLink ucl join
        on c.id = ucl.CustomerId
    User u
        on ucl.Userid = User.id
WHERE 
    i.Id = @invoiceId

Answer 2

查看授权属性。您可以将您的用户放入角色，然后让框架为您进行检查。

[Authorize(Roles="AllowedUser")]
public ViewResult GetInvoies()
{
   return View();
}