asp.net-mvc-4 - WEBAPI ActionContext Request.Properties.Add 用于存储敏感信息

Question

我想将信息从 Action 过滤器(数据库)传递到 Action 函数。

使用 ActionContext Request.Properties.Add 存储数据是否安全？

信息是否有可能被 WEBAPI 客户端或它的安全看到，因为它可以安全地将信息存储在 Cache\Session 中？

这是更好的方法吗？

Answer 1

除非您显式序列化它们，否则客户端不会看到请求属性。它们完全保留在服务器端。

要在这里回答您的后续问题，还有另外两种方法可以做到。本身没有“最佳”方式。这完全取决于您希望信息流动的程度，以及您希望过滤器的通用程度。我的个人偏好是使用 Controller 对象，但这只是一个偏好。

这里的示例是一个简单的值 Controller 和一个 POCO 类:

[MyActionfilter]
public class ValuesController : ApiController
{
    public string Foo { get; set; }

    public User Get(User user)
    {
        if (Foo != null && user != null)
        {
            user.FamilyName = Foo;
        }

        return user;
    }
}


public class User
{
    public string FirstName { get; set; }
    public string FamilyName { get; set; }
}

下面的 Action 过滤器天真地实现了对 Controller 对象或方法参数的访问。请注意，您可以谨慎地应用过滤器或进行类型检查/字典检查。

public class MyActionfilter : ActionFilterAttribute
{
    public override void OnActionExecuting(System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        controller = actionContext.ControllerContext.Controller;

        // Not safe unless applied only to controllers deriving
        // from ValuesController
        ((ValuesController)controller).Foo = "From filter";

        // Not safe unless you know the user is on the signature
        // of the action method.
        actionContext.ActionArguments["user"] = new User()
        {
            FirstName = "From filter"
        };
    }
}