ASP.NET Core MVC编辑视图中HiddenFor的安全替代方案问询

核心原则：永远不要信任客户端提交的数据 #

前端传递的任何数据都可能被篡改，后端必须做二次验证和数据校验，这是最基础的安全保障。

具体解决方案 #

• 后端权限与数据校验
  对于用户ID这类标识性字段，提交后后端要验证当前用户是否有权限操作该记录；对于动态变更的属性，不要依赖前端传递，而是从数据库或后端安全存储中重新获取。示例代码：

  [HttpPost]
  public IActionResult Edit(User model)
  {
      // 验证当前用户操作权限
      var currentUserId = User.FindFirstValue(ClaimTypes.NameIdentifier);
      if (model.Id.ToString() != currentUserId && !User.IsInRole("Admin"))
      {
          ModelState.AddModelError("", "无操作权限");
          return View(model);
      }
  
      // 从数据库获取原始数据，仅更新允许修改的字段
      var existingUser = _dbContext.Users.Find(model.Id);
      if (existingUser == null) return NotFound();
  
      // 只同步用户可编辑的属性，忽略敏感/不可编辑字段
      existingUser.Username = model.Username;
  
      _dbContext.SaveChanges();
      return RedirectToAction("Index");
  }
  

• 后端会话存储动态数据
  对于需要根据用户声明动态变更的属性，不要通过前端传递，而是在进入编辑页面时将数据存入后端Session或缓存，提交时从后端取出使用。示例：

  // 进入编辑页时存储动态数据
  public IActionResult Edit(int id)
  {
      var user = _dbContext.Users.Find(id);
      if (user == null) return NotFound();
  
      // 将动态属性序列化后存入Session
      var dynamicData = new { Password = user.Password };
      HttpContext.Session.SetString("UserEditDynamicData", JsonSerializer.Serialize(dynamicData));
      return View(user);
  }
  
  [HttpPost]
  public IActionResult Edit(User model)
  {
      // 从Session取出动态数据
      var dynamicDataJson = HttpContext.Session.GetString("UserEditDynamicData");
      if (string.IsNullOrEmpty(dynamicDataJson)) return BadRequest();
      var dynamicData = JsonSerializer.Deserialize<dynamic>(dynamicDataJson);
  
      // 合并数据并保存
      var existingUser = _dbContext.Users.Find(model.Id);
      existingUser.Username = model.Username;
      existingUser.Password = dynamicData.Password; // 使用Session中的安全值
  
      _dbContext.SaveChanges();
      HttpContext.Session.Remove("UserEditDynamicData"); // 清理会话数据
      return RedirectToAction("Index");
  }
  

• 杜绝前端传递敏感数据
  像Password这类敏感字段，完全不需要在前端输出（包括隐藏字段）。后端处理时直接沿用数据库中的原值，或从后端安全存储中获取，彻底避免前端篡改的可能。

• 结合防伪令牌增强防护
  确保表单携带有效的Anti-Forgery Token，防止CSRF攻击的同时，配合权限校验进一步拦截非法提交。

内容的提问来源于stack exchange，提问作者Patrick