私はモデルバインダー

Question

にオブジェクトを渡していた場合にどのように私は、私は次のプロパティを持つ訪問という名前のオブジェクトを持って更新されてからいくつかの値を防ぐことができます -

注 DoctorID VisitTypeID CREATEDBY 日 VISITID PatientID StatusID編集で

は、ユーザーが唯一の次の2つのプロパティを編集することができます表示 タイムスタンプ： - 注 DoctorID ので、私は以下のように私の編集ビューに隠されたフィールドなどの他のプロパティを追加しました： -

@using (Html.BeginForm()) { 
     @Html.ValidationSummary(true) 
     <fieldset> 
      <legend>Visit</legend> 
      <div class="editor-label"> 
       @Html.LabelFor(model => model.Note) 
      </div> 
      <div class="editor-field"> 
       @Html.EditorFor(model => model.Note) 
       @Html.ValidationMessageFor(model => model.Note) 
      </div> 

      <div class="editor-label"> 
       @Html.LabelFor(model => model.DoctorID) 
      </div> 
      <div class="editor-field"> 
       @Html.DropDownList("DoctorID", String.Empty) 
       @Html.ValidationMessageFor(model => model.DoctorID) 
      </div> 

      <p> 
       @Html.HiddenFor(model => model.VisitTypeID) 
       @Html.HiddenFor(model => model.CreatedBy) 
       @Html.HiddenFor(model => model.Date) 
       @Html.HiddenFor(model => model.VisitID) 
       @Html.HiddenFor(model => model.PatientID) 
       @Html.HiddenFor(model => model.StatusID) 
       @Html.HiddenFor(model => model.timestamp) 

      <input type="submit" value="Create" /> 

を私は私のポスト編集アクションメソッドへの訪問オブジェクトを渡しておりますので、私は私の編集ビュー内のすべてのプロパティが含まhaveto ,,どの以下のようになります -

[HttpPost] 
      public ActionResult Edit(Visit visit) 
      { 
       if (!(visit.Editable(User.Identity.Name))) 
       { 
        return View("NotFound"); 
       } 
       try 
       { 
        if (ModelState.IsValid) 
        { 
         repository.UpdateVisit(visit); 
         repository.Save(); 
         return RedirectToAction("Index"); 
        } 
       } 
       catch (DbUpdateConcurrencyException ex) 
       { 
    var entry = ex.Entries.Single(); 
        var clientValues = (Visit)entry.Entity; 

        ModelState.AddModelError(string.Empty, "The record you attempted to edit " 
        + "was modified by another user after you got the original value. The " 

    //code goes here 

だから私はこれらの理由のために上記のアプローチが心配です： - 1.攻撃者がhiddenfields値を変更することがあります。 2.訪問モデルクラスで[Bind（Include = ".... ...."）]を定義できません。

ので、私はこのアプローチを使用し続ける必要があるかどうかを判断することができませんOR

Answer 1

あなたが潜在的に、その後2つのフィールドのみを持ち越すあなたのコントローラでVisitオブジェクトを再引っ張る可能性が追随するよりよい方法がありますあなたは移入したいと思う。これにより、2つのフィールドだけが編集されることが保証されます。

Visit existingVisit = /* retrieve Visit */; 
existingVisit.Note = visit.Note; 
existingVisit.DoctorID = visit.DoctorID; 
repostistory.Update(existingVisit); 
reposistory.SaveChanges(); 

しかし、私はイベントをさらに進め、関連するフィールドだけを含む特定のアクションのビューモデルを作成することができます。