ASP.NET MVC：规避HiddenFor安全风险，实现模型字段回传控制器

模型类代码 #

public int Year { get; set; } = 0;
public int Odometer { get; set; }
public string ImageURL { get; set; } = "NA";
public string Category { get; set; } = "NA";

视图代码 #

<div class="form-group">
    <label class="control-label AutoLText">Has Vehicle Documents</label>
    @Html.DropDownListFor(Model => Model.VehDocuments, new SelectList(Model.GetYesNo()),new { @class = "form-control AutoL" })
    <span asp-validation-for="VehDocuments" class="text-danger"></span>
</div>

<div class="form-group">
    @Html.HiddenFor(m => m.ImageURL)
    <input type="submit" value="Add New Vehicle" class="btn MVButton_2" />
</div>

问题 #

如果视图中不添加@Html.HiddenFor(m => m.ImageURL)，ImageURL字段无法回传到控制器；但使用HiddenFor存在安全风险，用户可篡改该字符串，导致错误图片路径存入数据库，该如何解决？

可行解决方案 #

1. 后端自主生成/赋值，完全不依赖前端回传

如果ImageURL是默认值"NA"，直接在控制器的POST方法里赋值即可，根本不需要前端传：

[HttpPost]
public IActionResult AddVehicle(VehicleModel model)
{
    // 不管前端传没传，直接用后端控制的默认值或生成路径
    model.ImageURL = string.IsNullOrEmpty(model.ImageURL) ? "NA" : GetValidatedImagePath(model.ImageURL);
    // 执行数据库保存逻辑
    return RedirectToAction("Index");
}

如果是用户上传图片后生成的路径，应该在上传阶段就把路径暂存到后端（比如TempData、Session或临时数据库表），提交表单时后端从这些地方读取，完全不让前端接触到这个字段。

2. 对前端回传的ImageURL做严格校验

如果必须保留前端回传的逻辑，一定要在后端做合法性校验，过滤非法路径：

[HttpPost]
public IActionResult AddVehicle(VehicleModel model)
{
    if (!IsImageUrlValid(model.ImageURL))
    {
        // 非法路径直接重置为默认值，或者返回错误提示
        model.ImageURL = "NA";
        ModelState.AddModelError("ImageURL", "图片路径不合法");
        return View(model);
    }
    // 保存逻辑
    return RedirectToAction("Index");
}

// 自定义校验规则：比如只允许默认值或指定目录下的路径，禁止路径遍历字符
private bool IsImageUrlValid(string url)
{
    return url == "NA" || (url.StartsWith("/uploads/vehicles/") && !url.Contains("../"));
}

3. 使用DTO（数据传输对象）分离前后端字段

定义专门的前端提交DTO，不包含ImageURL字段，控制器接收DTO后再映射到业务模型，手动设置ImageURL：

// 前端提交用的DTO
public class VehicleCreateDto
{
    public int Year { get; set; }
    public int Odometer { get; set; }
    public string Category { get; set; }
    public bool VehDocuments { get; set; }
}

[HttpPost]
public IActionResult AddVehicle(VehicleCreateDto dto)
{
    var vehicleModel = new VehicleModel
    {
        Year = dto.Year,
        Odometer = dto.Odometer,
        Category = dto.Category ?? "NA",
        ImageURL = "NA" // 或者从后端存储中获取正确路径
    };
    // 保存逻辑
    return RedirectToAction("Index");
}

这种方式彻底切断了前端篡改ImageURL的可能，因为DTO里根本没有这个字段。

内容的提问来源于stack exchange，提问作者Mario V