ASP.NET MVC后臺(tái)參數(shù)驗(yàn)證的幾種方式
前言
參數(shù)驗(yàn)證是一個(gè)常見(jiàn)的問(wèn)題，無(wú)論是前端還是后臺(tái)，都需對(duì)用戶輸入進(jìn)行驗(yàn)證，以此來(lái)保證系統(tǒng)數(shù)據(jù)的正確性。對(duì)于web來(lái)說(shuō)，有些人可能理所當(dāng)然的想在前端驗(yàn)證就行了，但這樣是非常錯(cuò)誤的做法，前端代碼對(duì)于用戶來(lái)說(shuō)是透明的，稍微有點(diǎn)技術(shù)的人就可以繞過(guò)這個(gè)驗(yàn)證，直接提交數(shù)據(jù)到后臺(tái)。無(wú)論是前端網(wǎng)頁(yè)提交的接口，還是提供給外部的接口，參數(shù)驗(yàn)證隨處可見(jiàn)，也是必不可少的。總之，一切用戶的輸入都是不可信的。
參數(shù)驗(yàn)證有許多種方式進(jìn)行，下面以mvc為例，列舉幾種常見(jiàn)的驗(yàn)證方式，假設(shè)有一個(gè)用戶注冊(cè)方法
[HttpPost] public ActionResult Register(RegisterInfo info)
一、通過(guò) if-if 判斷
if(string.IsNullOrEmpty(info.UserName))
{
return FailJson("用戶名不能為空");
}
if(string.IsNullOrEmpty(info.Password))
{
return FailJson("用戶密碼不能為空")
}
逐個(gè)對(duì)參數(shù)進(jìn)行驗(yàn)證，這種方式最粗暴，但當(dāng)時(shí)在WebForm下也確實(shí)這么用過(guò)。對(duì)于參數(shù)少的方法還好，如果參數(shù)一多，就要寫(xiě)n多的if-if，相當(dāng)繁瑣，更重要的是這部分判斷沒(méi)法重用，另一個(gè)方法又是這樣判斷。
二、通過(guò) DataAnnotation
mvc提供了DataAnnotation對(duì)Action的Model進(jìn)行驗(yàn)證，說(shuō)到底DataAnnotation就是一系列繼承了ValidationAttribute的特性，例如RangeAttribute,RequiredAttribute等等。ValidationAttribute 的虛方法IsValid 就是用來(lái)判斷被標(biāo)記的對(duì)象是否符合當(dāng)前規(guī)則。asp.net mvc在進(jìn)行model binding的時(shí)候，會(huì)通過(guò)反射，獲取標(biāo)記的ValidationAttribute，然后調(diào)用 IsValid 來(lái)判斷當(dāng)前參數(shù)是否符合規(guī)則，如果驗(yàn)證不通過(guò)，還會(huì)收集錯(cuò)誤信息，這也是為什么我們可以在Action里通過(guò)ModelState.IsValid判斷Model驗(yàn)證是否通過(guò)，通過(guò)ModelState來(lái)獲取驗(yàn)證失敗信息的原因。例如上面的例子：
public class RegisterInfo
{
[Required(ErrorMessage="用戶名不能為空")]
public string UserName{get;set;}
[Required(ErrorMessage="密碼不能為空")]
public string Password { get; set; }
}
事實(shí)上在webform上也可以參照mvc的實(shí)現(xiàn)原理實(shí)現(xiàn)這個(gè)過(guò)程。這種方式的優(yōu)點(diǎn)的實(shí)現(xiàn)起來(lái)非常優(yōu)雅，而且靈活，如果有多個(gè)Action共用一個(gè)Model參數(shù)的話，只要在一個(gè)地方寫(xiě)就夠了，關(guān)鍵是它讓我們的代碼看起來(lái)非常簡(jiǎn)潔。
不過(guò)這種方式也有缺點(diǎn)，通常我們的項(xiàng)目可能會(huì)有很多的接口，比如幾十個(gè)接口，有些接口只有兩三個(gè)參數(shù)，為每個(gè)接口定義一個(gè)類包裝參數(shù)有點(diǎn)奢侈，而且實(shí)際上為這個(gè)類命名也是非常頭疼的一件事。
三、DataAnnotation 也可以標(biāo)記在參數(shù)上
通過(guò)驗(yàn)證特性的AttributeUsage可以看到，它不只可以標(biāo)記在屬性和字段上，也可以標(biāo)記在參數(shù)上。也就是說(shuō)，我們也可以這樣寫(xiě)：
public ActionResult Register([Required(ErrorMessage="用戶名不能為空")]string userName, [Required(ErrorMessage="密碼不能為空")]string password)
這樣寫(xiě)也是ok的，不過(guò)很明顯，這樣寫(xiě)很方法參數(shù)會(huì)難看，特別是在有多個(gè)參數(shù)，或者參數(shù)有多種驗(yàn)證規(guī)則的時(shí)候。
四、自定義ValidateAttribute
我們知道可以利用過(guò)濾器在mvc的Action執(zhí)行前做一些處理，例如身份驗(yàn)證，授權(quán)處理的。同理，這里也可以用來(lái)對(duì)參數(shù)進(jìn)行驗(yàn)證。FilterAttribute是一個(gè)常見(jiàn)的過(guò)濾器，它允許我們?cè)贏ction執(zhí)行前后做一些操作，這里我們要做的就是在Action前驗(yàn)證參數(shù)，如果驗(yàn)證不通過(guò)，就不再執(zhí)行下去了。
定義一個(gè)BaseValidateAttribute基類如下：
public class BaseValidateAttribute : FilterAttribute
{
protected virtual void HandleError(ActionExecutingContext context)
{
for (int i = ValidateHandlerProviders.Handlers.Count; i > 0; i--)
{
ValidateHandlerProviders.Handlers[i - 1].Handle(context);
if (context.Result != null)
{
break;
}
}
}
}
HandleError 用于在驗(yàn)證失敗時(shí)處理結(jié)果，這里ValidateHandlerProviders提過(guò)IValidateHandler用于處理結(jié)果，它可以在外部進(jìn)行注冊(cè)。IValidateHandler定義如下：
public interface IValidateHandler
{
void Handle(ActionExecutingContext context);
}
ValidateHandlerProviders定義如下，它有一個(gè)默認(rèn)的處理器。
public class ValidateHandlerProviders
{
public static List<IValidateHandler> Handlers { get; private set; }
static ValidateHandlerProviders()
{
Handlers = new List<IValidateHandler>()
{
new DefaultValidateHandler()
};
}
public static void Register(IValidateHandler handler)
{
Handlers.Add(handler);
}
}
這樣做的目的是，由于我們可能有很多具體的ValidateAttribute，可以把這模塊獨(dú)立開(kāi)來(lái)，而把最終的處理過(guò)程交給外部決定，例如我們?cè)陧?xiàng)目中可以定義一個(gè)處理器：
public class StanderValidateHandler : IValidateHandler
{
public void Handle(ActionExecutingContext filterContext)
{
filterContext.Result = new StanderJsonResult()
{
Result = FastStatnderResult.Fail("參數(shù)驗(yàn)證失敗", 555)
};
}
}
然后再應(yīng)用程序啟動(dòng)時(shí)注冊(cè)：ValidateHandlerProviders.Handlers.Add(new StanderValidateHandler());
舉個(gè)兩個(gè)栗子：
ValidateNullttribute:
public class ValidateNullAttribute : BaseValidateAttribute, IActionFilter
{
public bool ValidateEmpty { get; set; }
public string Parameter { get; set; }
public ValidateNullAttribute(string parameter, bool validateEmpty = false)
{
ValidateEmpty = validateEmpty;
Parameter = parameter;
}
public void OnActionExecuting(ActionExecutingContext filterContext)
{
string[] validates = Parameter.Split(',');
foreach (var p in validates)
{
string value = filterContext.HttpContext.Request[p];
if(ValidateEmpty)
{
if (string.IsNullOrEmpty(value))
{
base.HandleError(filterContext);
}
}
else
{
if (value == null)
{
base.HandleError(filterContext);
}
}
}
}
public void OnActionExecuted(ActionExecutedContext filterContext)
{
}
}
ValidateRegexAttribute:
public class ValidateRegexAttribute : BaseValidateAttribute, IActionFilter
{
private Regex _regex;
public string Pattern { get; set; }
public string Parameter { get; set; }
public ValidateRegexAttribute(string parameter, string pattern)
{
_regex = new Regex(pattern);
Parameter = parameter;
}
public void OnActionExecuting(ActionExecutingContext filterContext)
{
string[] validates = Parameter.Split(',');
foreach (var p in validates)
{
string value = filterContext.HttpContext.Request[p];
if (!_regex.IsMatch(value))
{
base.HandleError(filterContext);
}
}
}
public void OnActionExecuted(ActionExecutedContext filterContext)
{
}
}
更多的驗(yàn)證同理實(shí)現(xiàn)即可。
這樣，我們上面的寫(xiě)法就變成：
[ValidateNull("userName,password")]
public ActionResult Register(string userName, string password)
綜合看起來(lái)，還是ok的，與上面的DataAnnotation可以權(quán)衡選擇使用，這里我們可以擴(kuò)展更多有用的信息，如錯(cuò)誤描述等等。
總結(jié)
當(dāng)然每種方式都有有缺點(diǎn)，這個(gè)是視具體情況選擇了。一般參數(shù)太多建議就用一個(gè)對(duì)象包裝了。
- 詳解ASP.NET Core WebApi 返回統(tǒng)一格式參數(shù)
- .NET/C#利用反射調(diào)用含ref或out參數(shù)的方法示例代碼
- 淺談Asp.net Mvc之Action如何傳多個(gè)參數(shù)的方法
- Ajax提交參數(shù)的值中帶有html標(biāo)簽不能提交成功的解決辦法（ASP.NET）
- ASP.NET MVC傳送參數(shù)至服務(wù)端詳解及實(shí)例
- ASP.NET jquery ajax傳遞參數(shù)的實(shí)例
- .Net獲取URL中文參數(shù)值的亂碼問(wèn)題解決方法總結(jié)
- 在ASP.NET 2.0中操作數(shù)據(jù)之六：編程設(shè)置ObjectDataSource的參數(shù)值
- .net core在服務(wù)器端獲取api傳遞的參數(shù)過(guò)程
相關(guān)文章
理解ASP.NET Core 依賴注入(Dependency Injection)
把有依賴關(guān)系的類放到容器中，解析出這些類的實(shí)例，就是依賴注入。目的是實(shí)現(xiàn)類的解耦。本文主要介紹了ASP.NET Core 依賴注入(Dependency Injection)，需要了解具體內(nèi)容的可以仔細(xì)閱讀這篇文章，希望對(duì)你有所幫助2021-09-09
Entity Framework使用Code First模式管理視圖
本文詳細(xì)講解了Entity Framework使用Code First模式管理視圖的方法，文中通過(guò)示例代碼介紹的非常詳細(xì)。對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2022-03-03
本文詳細(xì)講解了C#元組類型ValueTuple的用法，文中通過(guò)示例代碼介紹的非常詳細(xì)。對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2022-02-02
.NET?core項(xiàng)目AsyncLocal在鏈路追蹤中的應(yīng)用
這篇文章主要為大家介紹了.NET?core項(xiàng)目zhong?AsyncLocal在鏈路追蹤中的應(yīng)用,有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步，早日升職加薪2022-05-05
ASP.NET Core環(huán)境變量配置和啟動(dòng)設(shè)置講解
這篇文章介紹了ASP.NET Core環(huán)境變量配置和啟動(dòng)設(shè)置的方法，文中通過(guò)示例代碼介紹的非常詳細(xì)。對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2022-02-02
asp.net下對(duì)于編輯器中的ubb進(jìn)行替換處理的實(shí)現(xiàn)代碼2008-08-08
參考了網(wǎng)絡(luò)大部分的解決方案，沒(méi)一個(gè)能搞定的，如果窮途末路，試試下面的方法:將獲得的前一頁(yè)面的URL分成兩段，后面的參數(shù)部分進(jìn)行編碼（直接對(duì)URL編碼是不行的），然后再組合一下就可以了,需要的朋友可以了解下2012-12-12
ASP.NET 在下載文件時(shí)對(duì)其重命名的思路及實(shí)現(xiàn)方法
ASP.NET 在下載文件時(shí)對(duì)其重命名的思路及實(shí)現(xiàn)方法，需要的朋友可以參考一下2013-06-06
關(guān)于Metalama使用Fabric操作項(xiàng)目或命名空間的問(wèn)題
Metalama是一個(gè)基于微軟編譯器Roslyn的元編程的庫(kù)，可以解決我在開(kāi)發(fā)中遇到的重復(fù)代碼的問(wèn)題，這篇文章主要介紹了Metalama使用Fabric操作項(xiàng)目或命名空間,需要的朋友可以參考下2022-04-04
asp.net 頁(yè)面間傳值與跳轉(zhuǎn)的區(qū)別
通過(guò)Server.Transfer("b.aspx") 與Response.Redirect("b.aspx")的區(qū)別2010-04-04