ASP.NET MVC表单提交和CSRF提交

1:表单验证 


[ValidateInput]


 //[ValidateInput(true)]//默认为真表示阻止脚本提交


 //[ValidateInput]//允许表单脚本提交
        public ActionResult test()
        {
            //设置登录
            FormsAuthentication.SetAuthCookie("aaa", false);


            return View();
        }


2:CSRF攻击（远程表单非法提交）


[ValidateAntiForgeryToken]


HTML界面：


@using (Html.BeginForm("default1", "test", FormMethod.Post))
{  
    @Html.AntiForgeryToken()  
    <input id="Submit1" type="submit" value="submit" />
}
<a href="default2">连接</a>


CS界面


         [HttpPost]
        [ValidateAntiForgeryToken]
        public ActionResult default1()
        {
            return View();
        } 


3:用户角色验证


[Authorize]


一般我们都是自定义角色验证


CS——model代码


 public class MyAuthAttribute : AuthorizeAttribute
    {
        // 只需重载此方法，模拟自定义的角色授权机制   
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        {
            string currentRole = GetRole(httpContext.User.Identity.Name);
            if (Roles.Contains(currentRole))
                return true;
           // return false;
             return base.AuthorizeCore(httpContext);
        }


        // 返回用户对应的角色， 在实际中， 可以从SQL数据库中读取用户的角色信息   
        private string GetRole(string name)
        {
            switch (name)
            {
                case "aaa": return "User";
                case "bbb": return "Admin";
                case "ccc": return "God";
                default: return "Fool";
            }
        }
    }


cs代码Controllers


   public ActionResult test() 
        {
            //模拟表单登录
            FormsAuthentication.SetAuthCookie("aaa", false);  


            return View();
        }


 


 [MyAuth]
        public ActionResult default2()
        {
           
            return View();
        }


4：子窗体（嵌入窗体）


[ChildActionOnly]


CS代码：


 [ChildActionOnly]
        public ActionResult default1()
        {
            return PartialView();
        }


HTML代码：


@using (Html.BeginForm())
{
    @Html.Action("default1");


}