7

我在 asp.net mvc 页面中的某些操作上使用了身份验证属性，如果他们没有经过身份验证，则可以将他们引向登录屏幕。我的问题是在他们登录后将他们返回到引荐页面。我只是在跟踪引荐操作和引荐控制器，但是当我还需要跟踪某些参数时，这就会出现问题。是否有一些我不知道的漂亮的内置技巧？

4

3 回答 3

3

如果您使用 FormsAuthentication，当 ASP.NET 将用户重定向到登录页面时，URL 看起来像这样：

http://www.mysite.com/Login?ReturnUrl=/Something

登录表单的 action 属性应该具有相同的 ReturnUrl 参数（作为隐藏输入或作为 Url 的一部分），以便 FormsAuthentication 可以获取并重定向，例如

<form action="Login?ReturnUrl=<%=Html.AttributeEncode(Request.QueryString["ReturnUrl"]) %>"></form>

或者

<form><input type="hidden" name="ReturnUrl" id="ReturnUrl" value="<%=Html.AttributeEncode(Request.QueryString["ReturnUrl"])"%> /></form>
于 2008-10-08T08:16:29.493 回答
2

我为达到这个结果所做的事情可能做得过火了，我也想看看其他一些方法。但是，这是我的代码。

请注意，它使用 Moq 来模拟上下文......而且，我还没有对查询字符串做任何事情（我的路线不包含任何查询字符串）。

var urlReferrer = Request.UrlReferrer;
if (urlReferrer != null)
{
    var url = "~" + Server.UrlDecode(urlReferrer.PathAndQuery);

    // get routecollection
    var routeCollection = new RouteCollection();
    GlobalApplication.RegisterRoutes(routeCollection);

    // mcok context
    var context = new Mock<HttpContextBase>();
    var request = new Mock<HttpRequestBase>();
    context.Expect(ctx => ctx.Request).Returns(request.Object);

    // mock request
    // TODO: convert querystring to namevaluecollection
    // now it's just stripped
    if (url.IndexOf('?') > 0)
    {
        url = url.Substring(0, url.IndexOf('?'));
    }

    var mock = Mock.Get(context.Object.Request);

    // TODO: insert namevaluecollection of querystring
    mock.Expect(req => req.QueryString).Returns(new NameValueCollection());
    mock.Expect(req => req.AppRelativeCurrentExecutionFilePath).Returns(url);
    mock.Expect(req => req.PathInfo).Returns(string.Empty); 

    // get routedata with mocked context
    var routeData = routeCollection.GetRouteData(context.Object);
    var values = routeData.Values;

    return RedirectToAction(routeData.Values["action"].ToString(), values);
}

正如我所说，它可能有点过于复杂:)

于 2008-10-08T08:05:42.807 回答
0

您应始终确保引用 URL 位于您的域内，并且它们可能来自一个合理的字符串。否则，这有可能与闪存或其他客户端技术一起使用，以执行诸如响应拆分或其他已知和未知攻击之类的事情。

HTTP 引用是用户输入，它应该像其他任何东西一样进行验证。

于 2008-10-08T17:53:31.013 回答