ASP.NET Core 中文文档 第二章 指南（4.10）检查自动生成的Detail方法和Delete方法

原文 Examining the Details and Delete methods

作者 Rick Anderson

翻译 谢炀(Kiler)

校对 许登洋(Seay)、姚阿勇(Mr.Yao)

打开 Movie 控制器并查看 Details 方法:

// GET: Movies/Details/5
public async Task<IActionResult> Details(int? id)
{
    if (id == null)
    {
        return NotFound();
    }

    var movie = await _context.Movie.SingleOrDefaultAsync(m => m.ID == id);
    if (movie == null)
    {
        return NotFound();
    }

    return View(movie);
}

创建这个 action 方法的 MVC 基架引擎添加了一条注释给出了会调用这个方法的 HTTP 请求。在这个例子中是一个有三个URL段的GET请求， Movies 控制器， Details 方法和 id 参数值。回顾一下 Startup 里定义的这些段。

    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");//手工高亮
    });

代码先行（Code First）模式使用 SingleOrDefaultAsync 方法更易于数据搜索。这个方法包含的一个重要安全功能，就是在代码尝试用电影记录做任何操作之前确保查找方法已经找到了一条电影记录。例如，黑客可以把产生的链接 URL 从 *http://localhost:xxxx/Movies/Details/1 * 改成类似于 *http://localhost:xxxx/Movies/Details/12345 * （或者其他非实际电影记录的值），从而给网站带来错误。如果您不检查影片是否为空，应用程序将会抛出异常。

查看 Delete 方法和 DeleteConfirmed 方法

// GET: Movies/Delete/5
public async Task<IActionResult> Delete(int? id)
{
    if (id == null)
    {
        return NotFound();
    }

    var movie = await _context.Movie.SingleOrDefaultAsync(m => m.ID == id);
    if (movie == null)
    {
        return NotFound();
    }

    return View(movie);
}

// POST: Movies/Delete/5
[HttpPost, ActionName("Delete")]
[ValidateAntiForgeryToken]
public async Task<IActionResult> DeleteConfirmed(int id)
{
    var movie = await _context.Movie.SingleOrDefaultAsync(m => m.ID == id);
    _context.Movie.Remove(movie);
    await _context.SaveChangesAsync();
    return RedirectToAction("Index");
}

需要注意的是 HTTP GET Delete 方法不删除指定的影片，它返回一个你可以提交 (HttpPost) 删除操作的 Movie 的视图。如果在对 GET 请求的响应中执行删除操作（或者编辑，创建，或任何其他更改数据的操作）将会引入一个安全漏洞。

真正删除数据的 [HttpPost] 方法被命名为 DeleteConfirmed ，给这个 HTTP POST 方法一个唯一的签名或名称。这两个方法的签名如下：

// GET: Movies/Delete/5
public async Task<IActionResult> Delete(int? id)

// POST: Movies/Delete/5
public async Task<IActionResult> DeleteConfirmed(int id)

公共语言运行时（CLR）要求重载方法有一个唯一的参数签名（相同的方法名，但不同的参数列表）。然而，在这里你需要两个 Delete 方法 – 一个 GET 请求一个 POST 请求 – 并且它们都具有相同的参数签名。（它们都需要接受一个整数作为参数）。

有两种方案可以解决该问题，其中一种方法是，赋予方法不同的名称。这就是基架机制在前面的例子所做的事情。但是，这个方法引入了一个小问题： ASP.NET 利用名字将 URL 段映射到 action 方法，如果你重命名一个方法，路由通常将无法找到该方法。解决的办法就是你在例子中看到的，就是为 DeleteConfirmed 方法添加 ActionName（"Delete"） 特性。该特性为路由系统执行映射，所以一个 POST 请求的包含 /Delete/ 的 URL 会找到 DeleteConfirmed 的方法。

对于具有相同名称和参数签名的方法，另一种常见的的解决办法是通过人为的改变 POST 方法的签名，即包含一个附加的（未使用）参数。这就是我们在前面文章中已经添加的 unused 的参数。在这里你可以对 [HttpPost] Delete 方法采用同样的解决办法：

// POST: Movies/Delete/5
[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Delete(int id, bool notUsed)
{
    var movie = await _context.Movie.SingleOrDefaultAsync(m => m.ID == id);
    _context.Movie.Remove(movie);
    await _context.SaveChangesAsync();
    return RedirectToAction("Index");
}

返回目录