jQuery MiniUI

标题: minui 框架如果要加入页面和按钮权限应该在那个层做处理 [打印本页]

作者: chenj1985 时间: 2012-6-26 15:46:06 标题: minui 框架如果要加入页面和按钮权限应该在那个层做处理

minui 框架如果要加入页面和按钮权限应该在那个层做处理

作者: chenj1985 时间: 2012-6-26 15:47:20

我看 ajaxservice的后台有//权限管理
      protected void BeforeInvoke(String methodName)
      {
         //Hashtable user = GetUser();
         //if (user.role == "admin" && methodName == "remove") throw .
      }
      //日志管理
      protected void AfterInvoke(String methodName)
      {

      } 这2段代码如果加在这里不知道怎么去控制具体页面

作者: factory 时间: 2012-6-26 16:27:53

chenj1985 发表于 2012-6-26 15:47
我看 ajaxservice的后台有//权限管理
protected void BeforeInvoke(String methodName)
{ ...

BeforeInvoke这个方法会在你执行后台操作之前被调用，进行权限的判断，如果权限不够，抛出异常

作者: chenj1985 时间: 2012-6-27 10:20:50

factory 发表于 2012-6-26 16:27
BeforeInvoke这个方法会在你执行后台操作之前被调用，进行权限的判断，如果权限不够，抛出异常 ...

权限不够只是一种情况而已又不属于异常怎么抛呀

作者: factory 时间: 2012-6-27 10:30:13

chenj1985 发表于 2012-6-27 10:20
权限不够只是一种情况而已又不属于异常怎么抛呀

你在操作的时候，ajax提交到后台，BeforeInvoke在后台会被调用到，你在里面做判断，然后返回回来判断信息。

作者: buyiyanqi 时间: 2012-6-27 16:20:02

factory 发表于 2012-6-27 10:30
你在操作的时候，ajax提交到后台，BeforeInvoke在后台会被调用到，你在里面做判断，然后返回回来判断信息 ...

但是我们在权限验证的时候，会将用户编号在页面中采用显示并添加到url后面传回都服务端验证，如：
../data/AjaxService.aspx?method=SaveEmployee&currentUserID='zhangs' 这种方式传回到服务端验证编号为zhangs的是否有这个更新Employee的权限，这样做是非常不安全的，加入现在是lis登录系统，当他在修改Employee，构造的url应该为../data/AjaxService.aspx?method=SaveEmployee&currentUserID='lis' ，这个时候系统会提示他没有修改的权限，这个时候他通过修改url（../data/AjaxService.aspx?method=SaveEmployee&currentUserID='zhangs' ）方式伪装为zhangs，就可修改Employee。

这种方式有没有好的解决方法啊。
谢谢

作者: niko 时间: 2012-6-27 19:43:17

你系统是URL处理的。
应该在后台Session获得登录用户信息，判断是否有权限。

欢迎光临 jQuery MiniUI (http://miniui.com/discuss/)