如何在ASP.NET Core中阻止用户修改HTML标签的值？

前端的任何限制都能被绕过，所以核心必须依赖后端验证，前端手段仅作为辅助补充：

一、后端强制校验（最关键） #

从数据库或可信数据源拉取用户的原始核心数据（邮箱、手机号等），与用户提交的表单数据做对比，一旦发现未被授权的修改，直接拒绝请求。

比如在编辑用户的Post Action中：

[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Edit(UserEditViewModel model)
{
    if (!ModelState.IsValid)
        return View(model);

    // 从数据库获取原始用户数据
    var originalUser = await _userManager.FindByIdAsync(model.Id);
    if (originalUser == null)
        return NotFound();

    // 校验核心字段是否被篡改（比如仅允许管理员修改邮箱，普通用户不能改）
    if (originalUser.Email != model.Email && !User.IsInRole("Admin"))
    {
        ModelState.AddModelError(nameof(model.Email), "无权修改邮箱");
        return View(model);
    }

    // 后续更新逻辑
    originalUser.PhoneNumber = model.PhoneNumber; // 假设该字段允许修改
    await _userManager.UpdateAsync(originalUser);

    return RedirectToAction(nameof(Index));
}

也可以结合数据注解特性，在ViewModel中添加自定义验证：

public class UserEditViewModel
{
    public string Id { get; set; }

    [EmailAddress]
    [CustomValidation(typeof(UserEditViewModel), nameof(ValidateEmailNotModified))]
    public string Email { get; set; }

    public string PhoneNumber { get; set; }

    public static ValidationResult ValidateEmailNotModified(string email, ValidationContext context)
    {
        var model = (UserEditViewModel)context.ObjectInstance;
        var userManager = (UserManager<IdentityUser>)context.GetService(typeof(UserManager<IdentityUser>));
        var originalUser = userManager.FindByIdAsync(model.Id).Result;

        if (originalUser.Email != email && !context.HttpContext.User.IsInRole("Admin"))
            return new ValidationResult("邮箱不可修改");

        return ValidationResult.Success;
    }
}

二、对不可编辑字段加密存储在前端 #

对于不需要用户编辑的核心字段，用隐藏输入框，并使用ASP.NET Core的数据保护API对值进行加密，后端接收后解密再校验，避免前端直接篡改明文值。

1. 注入数据保护服务：

// Program.cs
builder.Services.AddDataProtection();

2. 视图中加密隐藏字段：

@inject IDataProtector DataProtector
@{
    var encryptedEmail = DataProtector.Protect(Model.Email);
}

@Html.HiddenFor(m => m.Email, new { value = encryptedEmail })

3. 后端解密并校验：

[HttpPost]
public async Task<IActionResult> Edit(UserEditViewModel model)
{
    var decryptedEmail = DataProtector.Unprotect(model.Email);
    var originalUser = await _userManager.FindByIdAsync(model.Id);

    if (originalUser.Email != decryptedEmail)
    {
        ModelState.AddModelError(nameof(model.Email), "数据已被篡改");
        return View(model);
    }

    // 后续逻辑
}

三、前端只读/禁用控制（辅助） #

对于无需用户编辑的字段，设置readonly或disabled属性，增加前端篡改的门槛，但注意：

• disabled字段不会被表单提交，适合完全不需要提交的字段；
• readonly字段会被提交，但前端可通过浏览器控制台移除该属性，所以必须配合后端校验。

示例：

<input asp-for="Email" readonly class="form-control" />
<input asp-for="CreateTime" disabled class="form-control" />

四、内容安全策略（CSP）限制脚本（可选） #

配置CSP规则，禁止内联脚本和未授权的外部脚本，减少用户通过注入脚本篡改DOM的可能：

// Program.cs
app.UseHsts();
app.Use(async (context, next) =>
{
    context.Response.Headers.Add(
        "Content-Security-Policy", 
        "default-src 'self'; script-src 'self' 'nonce-abc123'; style-src 'self'");
    await next();
});

内容的提问来源于stack exchange，提问作者abu abdulrhman