ASP.NET MVC C#预订系统：如何让登录用户仅查看关联数据

看起来你遇到的核心问题有两个：一是数据隔离逻辑未正确实现，导致用户能看到所有公司的员工；二是LINQ查询中使用了EF无法解析的.NET方法，引发了那个"get_Item"错误。我来一步步帮你解决：

先搞懂错误原因 #

你看到的LINQ to Entities does not recognize the method 'System.Object get_Item(System.String...)'错误，本质是EF在把LINQ查询转换成SQL语句时，没法识别你用的Session["CompanyId"]这种索引器方法——因为这是.NET运行时的方法，没有对应的SQL语法。

第一步：修复LINQ查询错误 #

你需要先把当前用户的公司ID从Session（或者用户身份信息）里取出来，存成一个普通变量，再用这个变量写查询。比如：

错误写法（会报错） #

// 直接在LINQ里用Session索引器，EF无法解析
var allEmployees = db.Employees.Where(e => e.CompanyId == (int)Session["CompanyId"]).ToList();

正确写法 #

// 先把Session里的值存到变量中
int currentCompanyId = (int)Session["CompanyId"];
// 用变量做过滤，EF可以正常转换成SQL
var companyEmployees = db.Employees.Where(e => e.CompanyId == currentCompanyId).ToList();

第二步：实现完整的公司数据隔离 #

为了确保所有模块都能自动过滤当前公司的数据，而不是每个查询都手动写Where条件，推荐两种更优雅的方式：

方式1：使用ASP.NET Identity获取用户关联的公司ID（更安全） #

如果你的项目用了ASP.NET Identity，建议把CompanyId直接存在用户实体里，登录后从当前用户对象中获取，避免Session被篡改：

1. 先给ApplicationUser添加CompanyId属性

public class ApplicationUser : IdentityUser
{
    // 新增关联公司ID的属性
    public int CompanyId { get; set; }
}

2. 在Controller中获取并过滤数据

public class EmployeesController : Controller
{
    private readonly YourDbContext _dbContext;
    private readonly UserManager<ApplicationUser> _userManager;

    public EmployeesController(YourDbContext dbContext, UserManager<ApplicationUser> userManager)
    {
        _dbContext = dbContext;
        _userManager = userManager;
    }

    public async Task<IActionResult> Index()
    {
        // 获取当前登录用户
        var currentUser = await _userManager.GetUserAsync(User);
        if (currentUser == null)
        {
            return RedirectToAction("Login", "Account");
        }

        // 查询当前公司的员工
        var companyEmployees = await _dbContext.Employees
            .Where(e => e.CompanyId == currentUser.CompanyId)
            .ToListAsync();

        return View(companyEmployees);
    }
}

方式2：使用EF全局查询过滤器（一劳永逸） #

如果希望所有查询都自动过滤当前公司的数据，可以用EF的全局查询过滤器，这样不用每个Controller都写过滤条件：

1. 在DbContext中注入IHttpContextAccessor

public class YourDbContext : DbContext
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public YourDbContext(DbContextOptions<YourDbContext> options, IHttpContextAccessor httpContextAccessor)
        : base(options)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public DbSet<Employee> Employees { get; set; }

    protected override void OnModelCreating(ModelBuilder modelBuilder)
    {
        // 获取当前用户的公司ID（这里假设存在Session中，也可以换成Identity的方式）
        if (_httpContextAccessor.HttpContext?.Session != null)
        {
            int currentCompanyId = (int)_httpContextAccessor.HttpContext.Session["CompanyId"];
            // 给Employee实体添加全局过滤条件
            modelBuilder.Entity<Employee>().HasQueryFilter(e => e.CompanyId == currentCompanyId);
        }
    }
}

2. 注册IHttpContextAccessor到DI容器

在Startup.cs（或者Program.cs，.NET Core/5+）中添加：

services.AddHttpContextAccessor();

这样之后，你在任何地方查询db.Employees时，EF都会自动加上CompanyId == currentCompanyId的过滤条件，直接返回当前公司的数据。

额外注意事项 #

• 确保登录时正确设置Session["CompanyId"]或者用户的CompanyId属性，否则过滤会失效
• 如果CompanyId是字符串类型，注意类型转换的正确性，避免出现类型不匹配的错误
• 测试时可以用不同公司的用户登录，验证是否只能看到自己公司的数据

内容的提问来源于stack exchange，提问作者OverdueOrange