C# と VB.NET の質問掲示板

2016/12/28(Wed) 05:31:13 編集(投稿者)

<pre><pre>ASP.NET MVC　勉強中です。

Bind属性のIncludeプロパティなのですが、参考書にはExcludeではなくIncludeを使った方がよいとありました。

もしモデルのプロパティが追加されてInclude定義を更新し忘れた場合、値がバインドされていないという明確な結果になり問題が特定しやすいが、
Excludeで定義を更新し忘れても、オーバーポスティング攻撃にあうまで気づかないからだそうです。
（この意見には異議ありません）

しかし、入力画面のすべての引数にIncludeを定義するのはめんどくさいし、メンテがしんどいです。

規約で1つのビューモデルに入力値用のモデルと表示用のモデルを突っ込んで
表示する際はまとめたビューモデルを
受け取る際は入力値用のモデルを使用するようにしてはダメでしょうか？
   public class SampleViewModel
    {
        public class InputViewModel
        { 
            [Display(Name = "string値")]
            public string StringValue { get; set; }

            [Display(Name = "int値")]
            public int? IntValue { get; set; }
        }
        public class ReadonlyViewModel
        { 
            [Display(Name = "権限")]
            public string Role { get; set; }
        }
    }

全部受け取るなら、Bind属性指定しなくてもいいんじゃないかと思いましたが
後でプロパティが追加されたたとき「定義を更新し忘れても、オーバーポスティング攻撃にあうまで気づかない」と同じになるかと思いました。
みなさんはどうされているのでしょうか？
本当に一つ一つ定義しているのでしょうか？
めんどくさくないですか？</pre></pre>

WebSurfer さん いつもありがとうございます。

質問がうまく伝わりませんでした。
すみません。


何も考えずにビューモデルを作成すると、下記のようになると思います。

Roleプロパティは表示項目で編集はしません。
StringValueとIntValueは入力項目です。

public class SampleViewModel
{
    [Display(Name = "string値(入力項目)")]
    public string StringValue { get; set; }

    [Display(Name = "int値(入力項目)")]
    public int? IntValue { get; set; }

    [Display(Name = "権限(表示項目)")]
    public string Role { get; set; }
    
}
これをアクションメソッドで受け取るとき
Bind属性でInclude="StringValue,IntValue"としないといけないのですよね？
でないと表示項目であるRoleがビューモデルにバインドされてしまいます。
このとき悪意あるユーザーが異なるRoleを含むデータをポストされる可能性があり、意図しない結果になると認識しています。

※その後の処理でRoleが分岐の判断に使用されたり、データベースに更新されたりしないようなら
とくにBind属性は不要と思っています。


しかし、Includeにプロパティ名を書き連ねるのがめんどくさいので、
一つのビューモデルに、Input用のモデルと、表示項目用のモデルを含めてしまって
public class SampleViewModel
{
    public class InputViewModel
    { 
        [Display(Name = "string値(入力項目)")]
        public string StringValue { get; set; }

        [Display(Name = "int値(入力項目)")]
        public int? IntValue { get; set; }
    }
    public class ReadonlyViewModel
    { 
        [Display(Name = "権限(表示項目)")]
        public string Role { get; set; }
    }
}

ビューを表示する際は全体のビューモデルを渡して
public ActionResult Show()
{
	SampleViewModel mdl = CreateModel();
	return View(mdl);
}
受け取る際は入力モデルを引数にとれば楽なのかな
public ActionResult Update(SampleViewModel.InputViewModel inpmdl)
{

}

と思いました。

ですがこんなことは普通しなくて、もっといい方法があるかと思い質問しました。