Javascript инъекции осины MVC

Question

я создал контроллер:

[Authorize] 
    [AcceptVerbs(HttpVerbs.Delete)] 
    public ActionResult Delete(int id) 
    { 
     try 
     { 
      db.DeleteObject(db.AEROLINEA.FirstOrDefault(x => x.AEROLINEAID == id)); 
      db.SaveChanges(); 
     } 
     catch { /* TODO:Display message*/ } 

     return View(); 
    } 

если я выполнить в поджигатель следующий Javascript кто вошел может удалить авиакомпанию, даже если он оленья кожа разрешения на удаление

var action = "/Airline/Delete/" + recordId; 

    var request = new Sys.Net.WebRequest(); 
    request.set_httpVerb("DELETE"); 
    request.set_url(action); 
    request.add_completed(deleteCompleted); 
    request.invoke(); 

ХАУ может избежать этой проблемы ???

Answer 1

Вы можете фильтровать роли:

Пример:

[Authorize(Roles="Admin")] 
    [AcceptVerbs(HttpVerbs.Delete)] 
    public ActionResult Delete(int id) 
    { 
     try 
     { 
      db.DeleteObject(db.AEROLINEA.FirstOrDefault(x => x.AEROLINEAID == id)); 
      db.SaveChanges(); 
     } 
     catch { /* TODO:Display message*/ } 

     return View(); 
    } 

Answer 2

Или использовать AntiforgeryToken с сочной соли на вид ..

Answer 3

[Авторизоваться] без параметров позволяет чтобы указать, что пользователь должен войти в систему. Вы также можете указать пользователей/роли, уполномоченные на доступ к вашему действию.