ASP.NET MVC如何在编辑视图与控制器中排除ID并禁止用户编辑

要彻底禁止用户编辑ID字段并从编辑视图中移除它，需要从视图层和控制器层两方面入手——只改视图是不够的，用户依然可以通过工具构造请求篡改ID值，所以控制器的防护也很关键。

第一步：从编辑视图中移除ID字段 #

直接找到你视图中对应ID的整个表单组代码（类似你提供的ItemName那一段），把它完全删掉。比如原来的ID字段代码可能是这样的：

<div class="form-group">
    @Html.LabelFor(model => model.ID, htmlAttributes: new { @class = "control-label col-md-2" })
    <div class="col-md-10">
        @Html.EditorFor(model => model.ID, new { htmlAttributes = new { @class = "form-control" } })
        @Html.ValidationMessageFor(model => model.ID, "", new { @class = "text-danger" })
    </div>
</div>

把这段代码彻底移除，这样用户在编辑页面上完全看不到ID相关的内容，也无法直接编辑它。

⚠️ 注意：不要用@Html.HiddenFor(model => model.ID)来隐藏字段，因为用户可以通过浏览器开发者工具修改隐藏字段的值，依然能篡改ID。

第二步：控制器层防护，防止ID被篡改 #

在你的Edit POST方法中，需要确保ID值来自可靠的来源（比如路由参数），而不是用户提交的表单数据，同时限制模型绑定只接收允许编辑的字段。

方法1：使用Bind特性明确排除ID #

修改你的POST方法，给模型参数添加[Bind(Exclude = "ID")]特性，同时把ID作为独立参数传入（从路由获取）：

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult Edit(int id, [Bind(Exclude = "ID")] YourItemModel model)
{
    if (ModelState.IsValid)
    {
        // 从数据库获取原始实体
        var existingItem = db.YourItems.Find(id);
        if (existingItem == null)
        {
            return HttpNotFound();
        }

        // 手动将表单提交的属性赋值给原始实体
        existingItem.ItemName = model.ItemName;
        // 其他允许编辑的字段也这样赋值...

        db.Entry(existingItem).State = EntityState.Modified;
        db.SaveChanges();
        return RedirectToAction("Index");
    }
    return View(model);
}

方法2：使用Bind特性明确指定允许绑定的字段（更安全） #

相比排除字段，明确指定允许绑定的字段更安全，能避免后续添加新字段时不小心暴露可编辑项：

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult Edit(int id, [Bind(Include = "ItemName,Description,Price")] YourItemModel model)
{
    if (ModelState.IsValid)
    {
        var existingItem = db.YourItems.Find(id);
        if (existingItem == null)
        {
            return HttpNotFound();
        }

        existingItem.ItemName = model.ItemName;
        existingItem.Description = model.Description;
        existingItem.Price = model.Price;

        db.Entry(existingItem).State = EntityState.Modified;
        db.SaveChanges();
        return RedirectToAction("Index");
    }
    return View(model);
}

核心逻辑说明 #

• 我们从路由参数id获取要编辑的实体ID，这个值是用户无法直接篡改的（除非修改URL，后端还可以额外验证该ID是否属于当前用户等）。
• 通过Bind特性限制模型绑定只接收我们允许的字段，确保用户提交的任何非法ID值都不会被绑定到模型上。
• 最后更新数据库中原始实体的属性，而不是直接保存提交的模型，这样ID始终保持数据库中的原始值，不会被修改。

内容的提问来源于stack exchange，提问作者Kastan