ASP.NET MVC后台参数验证的几种方式

 更新时间:2016年12月08日 10:22:24   作者:我是攻城狮   我要评论
本篇文章主要介绍了ASP.NET MVC后台参数验证的几种方式 ,具有一定的参考价值,有兴趣的可以了解一下。

前言

参数验证是一个常见的问题,无论是前端还是后台,都需对用户输入进行验证,以此来保证系统数据的正确性。对于web来说,有些人可能理所当然的想在前端验证就行了,但这样是非常错误的做法,前端代码对于用户来说是透明的,稍微有点技术的人就可以绕过这个验证,直接提交数据到后台。无论是前端网页提交的接口,还是提供给外部的接口,参数验证随处可见,也是必不可少的。总之,一切用户的输入都是不可信的。

参数验证有许多种方式进行,下面以mvc为例,列举几种常见的验证方式,假设有一个用户注册方法

[HttpPost]
public ActionResult Register(RegisterInfo info)

一、通过 if-if 判断  

if(string.IsNullOrEmpty(info.UserName))
{
  return FailJson("用户名不能为空");
}
if(string.IsNullOrEmpty(info.Password))
{
  return FailJson("用户密码不能为空")
} 

逐个对参数进行验证,这种方式最粗暴,但当时在WebForm下也确实这么用过。对于参数少的方法还好,如果参数一多,就要写n多的if-if,相当繁琐,更重要的是这部分判断没法重用,另一个方法又是这样判断。

二、通过 DataAnnotation

mvc提供了DataAnnotation对Action的Model进行验证,说到底DataAnnotation就是一系列继承了ValidationAttribute的特性,例如RangeAttribute,RequiredAttribute等等。ValidationAttribute 的虚方法IsValid 就是用来判断被标记的对象是否符合当前规则。asp.net mvc在进行model binding的时候,会通过反射,获取标记的ValidationAttribute,然后调用 IsValid 来判断当前参数是否符合规则,如果验证不通过,还会收集错误信息,这也是为什么我们可以在Action里通过ModelState.IsValid判断Model验证是否通过,通过ModelState来获取验证失败信息的原因。例如上面的例子:

public class RegisterInfo
{
  [Required(ErrorMessage="用户名不能为空")]
  public string UserName{get;set;}
 [Required(ErrorMessage="密码不能为空")]
  public string Password { get; set; }
} 

事实上在webform上也可以参照mvc的实现原理实现这个过程。这种方式的优点的实现起来非常优雅,而且灵活,如果有多个Action共用一个Model参数的话,只要在一个地方写就够了,关键是它让我们的代码看起来非常简洁。

不过这种方式也有缺点,通常我们的项目可能会有很多的接口,比如几十个接口,有些接口只有两三个参数,为每个接口定义一个类包装参数有点奢侈,而且实际上为这个类命名也是非常头疼的一件事。

三、DataAnnotation 也可以标记在参数上

通过验证特性的AttributeUsage可以看到,它不只可以标记在属性和字段上,也可以标记在参数上。也就是说,我们也可以这样写:

public ActionResult Register([Required(ErrorMessage="用户名不能为空")]string userName, [Required(ErrorMessage="密码不能为空")]string password) 

这样写也是ok的,不过很明显,这样写很方法参数会难看,特别是在有多个参数,或者参数有多种验证规则的时候。

四、自定义ValidateAttribute

我们知道可以利用过滤器在mvc的Action执行前做一些处理,例如身份验证,授权处理的。同理,这里也可以用来对参数进行验证。FilterAttribute是一个常见的过滤器,它允许我们在Action执行前后做一些操作,这里我们要做的就是在Action前验证参数,如果验证不通过,就不再执行下去了。

定义一个BaseValidateAttribute基类如下:

public class BaseValidateAttribute : FilterAttribute
{
  protected virtual void HandleError(ActionExecutingContext context)
  {
    for (int i = ValidateHandlerProviders.Handlers.Count; i > 0; i--)
    {
      ValidateHandlerProviders.Handlers[i - 1].Handle(context);
      if (context.Result != null)
      {
        break;
      }
    }
  }
} 

HandleError 用于在验证失败时处理结果,这里ValidateHandlerProviders提过IValidateHandler用于处理结果,它可以在外部进行注册。IValidateHandler定义如下:

public interface IValidateHandler
{
  void Handle(ActionExecutingContext context);
} 

ValidateHandlerProviders定义如下,它有一个默认的处理器。

public class ValidateHandlerProviders
{
  public static List<IValidateHandler> Handlers { get; private set; }
 
  static ValidateHandlerProviders()
  {
    Handlers = new List<IValidateHandler>()
    {
      new DefaultValidateHandler()
    };
  }
 
  public static void Register(IValidateHandler handler)
  {
    Handlers.Add(handler);
  }
}   

这样做的目的是,由于我们可能有很多具体的ValidateAttribute,可以把这模块独立开来,而把最终的处理过程交给外部决定,例如我们在项目中可以定义一个处理器:

public class StanderValidateHandler : IValidateHandler
{
  public void Handle(ActionExecutingContext filterContext)
  {
    filterContext.Result = new StanderJsonResult()
    {
      Result = FastStatnderResult.Fail("参数验证失败", 555)
    };
  }
} 

然后再应用程序启动时注册:ValidateHandlerProviders.Handlers.Add(new StanderValidateHandler());

举个两个栗子:

ValidateNullttribute:

public class ValidateNullAttribute : BaseValidateAttribute, IActionFilter
{
  public bool ValidateEmpty { get; set; }
 
  public string Parameter { get; set; }
 
  public ValidateNullAttribute(string parameter, bool validateEmpty = false)
  {
    ValidateEmpty = validateEmpty;
    Parameter = parameter;
  }
 
  public void OnActionExecuting(ActionExecutingContext filterContext)
  {
    string[] validates = Parameter.Split(',');
    foreach (var p in validates)
    {
      string value = filterContext.HttpContext.Request[p];
      if(ValidateEmpty)
      {
        if (string.IsNullOrEmpty(value))
        {
          base.HandleError(filterContext);
        }
      }
      else
      {
        if (value == null)
        {
          base.HandleError(filterContext);
        }
      }
    }
  }
 
  public void OnActionExecuted(ActionExecutedContext filterContext)
  {
 
  }
} 

ValidateRegexAttribute:

 public class ValidateRegexAttribute : BaseValidateAttribute, IActionFilter
{
  private Regex _regex;
 
  public string Pattern { get; set; }
 
  public string Parameter { get; set; }
 
  public ValidateRegexAttribute(string parameter, string pattern)
  {
    _regex = new Regex(pattern);
    Parameter = parameter;
  }
 
  public void OnActionExecuting(ActionExecutingContext filterContext)
  {
    string[] validates = Parameter.Split(',');
    foreach (var p in validates)
    {
      string value = filterContext.HttpContext.Request[p];
      if (!_regex.IsMatch(value))
      {
        base.HandleError(filterContext);
      }
    }
  }
  public void OnActionExecuted(ActionExecutedContext filterContext)
  { 
  }
} 

更多的验证同理实现即可。

这样,我们上面的写法就变成:

[ValidateNull("userName,password")]
public ActionResult Register(string userName, string password) 

综合看起来,还是ok的,与上面的DataAnnotation可以权衡选择使用,这里我们可以扩展更多有用的信息,如错误描述等等。

总结

当然每种方式都有有缺点,这个是视具体情况选择了。一般参数太多建议就用一个对象包装了。

相关文章

  • asp.net 动态生成控件并获取其值

    asp.net 动态生成控件并获取其值

    代码比较简单,所以不多做解释了:
    2009-02-02
  • 管理员登录设计(第7节)

    管理员登录设计(第7节)

    这篇文章主要内容是管理员登录设计,通过设计了解命名空间的概念,掌握命名控件的的构建和使用以及数据的读操作,需要的朋友可以参考下
    2015-08-08
  • .NET Core 2.0迁移小技巧之MemoryCache问题修复解决的方法

    .NET Core 2.0迁移小技巧之MemoryCache问题修复解决的方法

    这篇文章主要给大家介绍了关于.NET Core 2.0迁移小技巧之MemoryCache问题修复解决的相关资料,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧。
    2017-08-08
  • asp.net快速连接access

    asp.net快速连接access

    网上有很多人在问asp.net连接access的问题,作为一个程序员,我觉得非常有必要分享一下我是怎么快速,简单连接access金沙国际官网的。本经验采用HTML代码结合JS模式,直接写在网页中,非常适合学习新手。
    2015-09-09
  • 在.net中用CheckBoxList实现单选

    在.net中用CheckBoxList实现单选

    用CheckBoxList实现单选的原因是我觉得CheckBoxList控件页面展示效果要好看一些,需要的朋友可以参考下
    2014-02-02
  • asp .net实现给图片添加图片水印方法示例

    asp .net实现给图片添加图片水印方法示例

    图片上加水印相信每位程序员都会遇到这个需求,下面这篇文章主要给大家介绍了asp .net实现给图片添加图片水印的方法,文中给出了完整的实例代码,相信对大家具有一定的参考价值,需要的朋友们下面来一起看看吧。
    2017-03-03
  • asp.net 页面逐步呈现的方法总结

    asp.net 页面逐步呈现的方法总结

    分块编码 ( chunked encoding )就是让 response 分块编码进行传输。response 分块编码,可以先传输一部分不需要处理的 html 代码到客户端,等其他耗时代码执行完毕后再传输另外的 html 代码。
    2010-06-06
  • Bat自动解压缩发布asp.net程序

    Bat自动解压缩发布asp.net程序

    这篇文章主要介绍了Bat自动解压缩发布asp.net程序的相关资料,非常不错,具有参考借鉴价值,需要的朋友可以参考下
    2016-12-12
  • Datatable删除行的Delete和Remove方法的区别介绍

    Datatable删除行的Delete和Remove方法的区别介绍

    Datatable删除行的Delete和Remove方法的区别介绍,需要的朋友可以参考一下
    2013-03-03
  • asp.net中url地址传送中文参数时的两种解决方案

    asp.net中url地址传送中文参数时的两种解决方案

    前天遇到一个地址传递中文参数变为乱码的问题,同样的两个web Project,一个是vs2003,一个是vs2005,前者可以,后者就是不可以。
    2009-11-11

最新评论