确保在SaveChanges期间遵守查询限制-Breeze安全性

Question

考虑一个典型的Breeze控制器，该控制器将查询结果限制为登录用户有权访问的实体。 当浏览器调用SaveChanges ，Breeze是否在服务器上验证报告为已修改的实体来自原始集中？

换句话说， EFContextProvider （在Entity Framework的情况下）是否跟踪已EFContextProvider的实体，以便可以检查传递给SaveChanges恶意数据？ 还是BeforeSaveEntity需要验证用户是否有权访问更改的实体？

Answer 1

您必须在BeforeSaveEntity或BeforeSaveEntities方法中防范恶意数据。

EFContextProvider将跟踪已经发放的实体的想法可能是我们不希望做的事情，因为

• EFContextProvider将不再是无状态的，这是促进扩展的设计目标。
• 您仍然需要在BeforeXXX方法中防范“已添加”实体的恶意数据。
• 实际上，对于我们的某些用户来说，“修改”实体而不先查询它们是一个有效的用例。