ASP.NET MVC 基础

前言----> 冰菓！！！

MVC 应用程序

MVC（Model-View-Controller）是一种软件设计模式，用于构建 Web 应用程序。它将应用程序分为三个主要部分：模型（Model）、视图（View）和控制器（Controller）。每个部分都有其独特的责任和功能。

模型（Model）：模型代表应用程序的数据和业务逻辑。它负责处理数据的存储、检索和处理，并执行与数据相关的业务逻辑。模型通常是控制器和视图之间的中介，负责在两者之间传递数据。
视图（View）：视图是用户界面的呈现层。它负责将模型数据以合适的方式呈现给用户，并处理用户的输入。视图通常是由控制器选择和渲染的，然后发送到客户端的浏览器进行显示。
控制器（Controller）：控制器负责处理用户请求并相应地更新模型和视图。控制器接收用户输入，并调用相应的模型来处理业务逻辑，然后选择合适的视图来呈现响应。控制器通常是 MVC 应用程序中处理请求的中心枢纽。

MVC 的目标是将应用程序的各个部分分离开来，使其更易于开发、测试和维护。通过清晰地定义各个组件的责任和交互方式，MVC 提供了一种结构化的方法来构建 Web 应用程序，使开发人员能够更加高效地开发出可扩展和可维护的应用程序。

Web Forms 对比 MVC

Web Forms 和 MVC 是构建 Web 应用程序的两种不同的开发模型，它们在设计理念、工作原理和使用方式上有很大的差异。

Web Forms

事件驱动：Web Forms 是基于事件驱动的模型。开发人员可以在页面上定义各种控件，并为这些控件绑定事件处理程序。当用户与页面上的控件交互时，会触发相应的事件，从而执行相应的服务器端逻辑。
状态管理：Web Forms 提供了内置的状态管理机制，包括视图状态（View State）和控件状态（Control State），使开发人员能够在页面之间保持数据的持久性。
页面生命周期：Web Forms 页面具有复杂的生命周期，包括初始化、加载视图状态、处理事件、呈现控件等多个阶段。开发人员可以在页面生命周期的不同阶段执行相应的操作。
控件模型：Web Forms 提供了丰富的服务器端控件，如按钮、文本框、表格等，开发人员可以通过简单的拖放和属性设置来构建页面。

MVC

模型-视图-控制器架构：MVC 是一种基于模型-视图-控制器架构的设计模式，将应用程序分为模型、视图和控制器三个组件。每个组件都有明确定义的职责，使应用程序更易于理解和维护。
路由：MVC 使用路由来确定如何响应来自客户端的请求。路由将 URL 映射到相应的控制器动作方法，从而实现灵活的 URL 映射和更友好的 URL 结构。
测试性：由于 MVC 应用程序的模型、视图和控制器之间的松耦合性，因此更容易编写单元测试和集成测试，以确保应用程序的质量和稳定性。
RESTful：MVC 框架支持构建符合 REST 架构风格的 Web 应用程序。通过使用 HTTP 动词和资源标识符来操作数据，开发人员可以实现更为灵活和可扩展的 Web API。

对比

灵活性 vs. 控制：Web Forms 提供了丰富的服务器端控件和状态管理机制，使得开发人员能够快速构建功能丰富的 Web 应用程序。而 MVC 则更加注重于分离关注点和控制程序流程，提供了更多的灵活性和控制权。
学习曲线：相对而言，Web Forms 对初学者更友好，因为它抽象了 Web 开发的细节，并提供了更高级的开发体验。而 MVC 则需要开发人员对 Web 开发的基本概念有更深入的理解，因此学习曲线可能会较陡。
性能：由于 Web Forms 页面的生命周期较为复杂，且存在视图状态等开销，因此在某些情况下，MVC 可能具有更好的性能和资源利用率。

MVC 文件夹

MVC 应用程序的文件夹结构通常是按照 MVC 模式组织的，以便更好地管理代码和资源文件。以下是常见的 MVC 文件夹及其功能：

1. `Controllers`（控制器）

功能：存放控制器类文件，控制器负责处理用户请求并协调模型和视图之间的交互。
示例：HomeController.cs, ProductController.cs

2. `Models`（模型）

功能：存放模型类文件，模型用于表示应用程序的数据结构和业务逻辑。
示例：User.cs, Product.cs

3. `Views`（视图）

功能：存放视图文件，视图用于呈现用户界面和显示数据。通常包括 HTML、Razor、或者其他模板文件。
子文件夹：通常按照控制器的名称来组织，每个控制器对应一个文件夹。
示例：Views/Home/Index.cshtml, Views/Product/Details.cshtml

4. `Scripts`（脚本）

功能：存放客户端脚本文件，如 JavaScript、TypeScript 等。用于实现客户端行为和交互。
示例：jquery.js, app.js

5. `Content`（样式表）

功能：存放样式表文件，如 CSS、LESS、SASS 等。用于定义网站的外观和样式。
示例：site.css, bootstrap.css

6. `App_Start`

功能：存放应用程序启动时需要执行的代码，如路由配置、依赖注入配置等。
示例：RouteConfig.cs, BundleConfig.cs

7. `App_Data`

功能：存放应用程序的数据文件，如数据库文件、日志文件等。
示例：database.db, logfile.txt

8. `Areas`

功能：用于组织具有独立功能的子应用程序，每个子应用程序有自己的 MVC 结构。
示例：Areas/Admin, Areas/Blog

9. `App_GlobalResources`

功能：存放全局资源文件，用于多语言支持和国际化。
示例：Strings.resx, Messages.fr.resx

10. `App_LocalResources`

功能：存放局部资源文件，用于特定页面或控件的本地化。
示例：Index.aspx.resx, Error.aspx.fr.resx

MVC 布局

MVC 布局是一种将网站的整体结构和外观定义为可重用组件的方式。通过布局，您可以将网站的共享部分（如页眉、页脚、导航栏等）抽象出来，以便在多个页面中重复使用，从而提高代码的可维护性和可扩展性。

布局的优势

可维护性：将共享部分抽象为布局，使得对这些部分的修改和更新变得更加容易和集中化。
可重用性：布局可以在多个页面中重复使用，减少了重复编写相同代码的工作量。
一致性：通过统一的布局，可以确保网站各个页面的外观和风格保持一致，提升用户体验。

创建布局

在 MVC 中，布局通常使用 Razor 视图引擎来创建和管理。可以在 Views 文件夹下创建一个名为 _Layout.cshtml 的文件，该文件将会作为默认的布局模板。

示例代码

_Layout.cshtml

<!DOCTYPE html>
<html>
<head>
    <title>@ViewBag.Title - My Website</title>
    <link href="~/Content/site.css" rel="stylesheet" />
</head>
<body>

    <header>
        <h1>Welcome to My Website</h1>
        <nav>
            <ul>
                <li><a href="/">Home</a></li>
                <li><a href="/About">About</a></li>
                <li><a href="/Contact">Contact</a></li>
            </ul>
        </nav>
    </header>

    <main>
        @RenderBody()
    </main>

    <footer>
        <p>&copy; 2024 My Website</p>
    </footer>

</body>
</html>

在视图中使用布局

要在视图中使用布局，只需在视图文件的顶部使用 Layout 属性指定布局文件即可。

示例代码

@{
    Layout = "~/Views/Shared/_Layout.cshtml";
    ViewBag.Title = "Home";
}

<h2>Welcome to Home Page</h2>
<p>This is the home page content.</p>

使用部分视图

除了整体布局外，还可以使用部分视图（Partial View）来构建局部布局。部分视图是可以在多个地方重复使用的小型视图组件，通常用于呈现共享的 UI 元素，如导航栏、页脚等。

示例代码

<nav>
    <ul>
        <li><a href="/">Home</a></li>
        <li><a href="/About">About</a></li>
        <li><a href="/Contact">Contact</a></li>
    </ul>
</nav>

_Layout.cshtml

<!DOCTYPE html>
<html>
<head>
    <title>@ViewBag.Title - My Website</title>
    <link href="~/Content/site.css" rel="stylesheet" />
</head>
<body>

    <header>
        <h1>Welcome to My Website</h1>
        @Html.Partial("_Navbar")
    </header>

    <main>
        @RenderBody()
    </main>

    <footer>
        <p>&copy; 2024 My Website</p>
    </footer>

</body>
</html>

通过这样的方式，我们可以轻松地创建和管理 MVC 应用程序的布局，并实现布局的可维护性和可重用性。

MVC 控制器

MVC 控制器是应用程序中处理用户请求和业务逻辑的核心组件。它负责接收用户的输入，根据请求调用适当的业务逻辑（模型），然后选择合适的视图进行呈现。

控制器的功能

接收请求：控制器通过定义不同的动作方法来响应特定的 URL 请求。这些动作方法通常与 HTTP 动词（如 GET、POST）相关联，并根据请求的类型执行不同的操作。
处理业务逻辑：控制器通过调用模型来执行与数据相关的业务逻辑。它可以获取、更新、删除数据，执行验证和计算等操作，以满足用户请求的需求。
选择视图：控制器负责确定响应请求时应该使用哪个视图来呈现结果。它可以通过返回特定的视图对象或视图名称来指定要呈现的视图。

控制器的实现

在 MVC 中，控制器通常是一个类，它继承自 MVC 框架提供的基类（如 Controller 类），并包含各种动作方法。

示例代码

using System;
using System.Web.Mvc;

namespace MyApplication.Controllers
{
    public class HomeController : Controller
    {
        // GET: Home
        public ActionResult Index()
        {
            return View();
        }

        // GET: Home/About
        public ActionResult About()
        {
            ViewBag.Message = "About Us";

            return View();
        }

        // GET: Home/Contact
        public ActionResult Contact()
        {
            ViewBag.Message = "Contact Us";

            return View();
        }

        // POST: Home/SubmitContact
        [HttpPost]
        public ActionResult SubmitContact(string name, string email, string message)
        {
            // Process contact form submission
            // Save data to database, send email, etc.
            ViewBag.SuccessMessage = "Your message has been submitted successfully.";

            return View("Contact");
        }
    }
}

using System; 和 using System.Web.Mvc;：这两行代码是命名空间的引用，使得我们可以使用其中定义的类型和功能。

namespace MyApplication.Controllers：这个控制器位于名为 MyApplication.Controllers 的命名空间下。

public class HomeController : Controller：这行代码定义了一个名为 HomeController 的公共类，它继承自 Controller 基类，表明这是一个 MVC 控制器。

public ActionResult Index()：这是一个名为 Index 的动作方法，它返回一个 ActionResult 对象，该对象代表了要返回给用户的结果。在这个例子中，Index 方法返回了一个视图（View）。

public ActionResult About() 和 public ActionResult Contact()：这两个方法与 Index 方法类似，它们分别用于处理关于页面和联系页面的请求。这些方法也返回一个视图。

[HttpPost]：这个特性标记了 SubmitContact 方法，表示该方法只能通过 HTTP POST 请求访问。这意味着只有在表单提交时才会执行这个方法。

public ActionResult SubmitContact(string name, string email, string message)：这是一个名为 SubmitContact 的动作方法，它接收来自表单提交的参数 name、email 和 message。在方法内部，通常会处理表单提交的数据，比如保存到数据库或者发送电子邮件，并最终返回一个视图，用于显示处理结果。

ViewBag：ViewBag 是一个动态属性，可以在控制器和视图之间传递数据。在这个示例中，ViewBag.Message 和 ViewBag.SuccessMessage 用于在视图中显示相关的消息。

控制器的路由

控制器的路由决定了如何将请求映射到相应的控制器和动作方法。在 MVC 中，通常使用路由配置来定义路由规则，以确定 URL 如何与控制器的动作方法相匹配。

示例代码

// RouteConfig.cs

using System.Web.Mvc;
using System.Web.Routing;

namespace MyApplication
{
    public class RouteConfig
    {
        public static void RegisterRoutes(RouteCollection routes)
        {
            routes.IgnoreRoute("{resource}.axd/{*pathInfo}");

            routes.MapRoute(
                name: "Default",
                url: "{controller}/{action}/{id}",
                defaults: new { controller = "Home", action = "Index", id = UrlParameter.Optional }
            );
        }
    }
}

using System.Web.Mvc; 和 using System.Web.Routing;：这两行代码是命名空间的引用，使得我们可以使用其中定义的类型和功能。

namespace MyApplication：这个类位于名为 MyApplication 的命名空间下。

public class RouteConfig：这行代码定义了一个名为 RouteConfig 的公共类。

public static void RegisterRoutes(RouteCollection routes)：这是一个静态方法，它接收一个 RouteCollection 对象作为参数，用于注册应用程序的路由规则。

routes.IgnoreRoute("{resource}.axd/{*pathInfo}");：这行代码表示忽略对特定 URL 模式的路由匹配，即当 URL 匹配 {resource}.axd/{*pathInfo} 时，不会执行后续的路由处理。

routes.MapRoute(...)：这是配置默认路由规则的方法调用。它通过调用 MapRoute 方法来定义路由规则，将 URL 映射到相应的控制器和动作方法。其中，name 参数指定了路由的名称，url 参数定义了路由的 URL 模式，defaults 参数指定了默认的控制器、动作方法和参数值。

name: "Default"：路由的名称，可以在应用程序中唯一标识一个路由。

url: "{controller}/{action}/{id}"：路由的 URL 模式，使用占位符 {controller}、{action} 和 {id} 表示控制器名、动作方法名和可选的参数值。

defaults: new { controller = "Home", action = "Index", id = UrlParameter.Optional }：默认的控制器、动作方法和参数值。如果请求的 URL 不包含控制器、动作方法或参数，则使用默认值进行处理。

通过这样的配置，应用程序可以根据请求的 URL 自动确定应该调用哪个控制器和动作方法，并执行相应的操作。这种灵活的路由配置使得 MVC 应用程序可以处理各种不同的 URL 结构，并提供灵活的路由匹配和请求处理能力。

控制器是 MVC 应用程序的核心组件之一，它负责处理用户请求、执行业务逻辑和选择合适的视图进行呈现。通过合理地设计和实现控制器，可以构建出高效、可维护和可扩展的 MVC 应用程序。

MVC 视图

MVC 视图是用户界面的呈现层，负责将模型数据以合适的方式呈现给用户，并接收用户的输入。视图通常由控制器选择和渲染，然后发送到客户端的浏览器进行显示。

视图的功能

呈现数据：视图负责将控制器传递的模型数据呈现给用户。它可以使用 HTML、Razor 语法或其他模板引擎来生成动态内容，以展示应用程序的各种信息。
处理用户输入：视图可以包含表单、按钮等交互元素，用于接收用户的输入。当用户与视图交互时，视图会将用户输入发送回控制器进行处理。
定义页面结构：视图不仅仅是单个页面的呈现，还可以定义整个页面的结构和布局。通过使用布局文件，可以将页面的共同部分（如页眉、导航栏、页脚）抽象出来，以实现页面的重用和统一性。

创建视图

在 MVC 中，视图通常是以文件的形式存在于项目的 Views 文件夹中。您可以通过添加新的视图文件来创建视图，并使用 Razor 视图引擎来定义视图的内容和逻辑。

示例代码

Index.cshtml

@model MyApplication.Models.Product

<!DOCTYPE html>
<html>
<head>
    <title>Product Details</title>
</head>
<body>
    <h2>Product Details</h2>
    <div>
        <p>Product ID: @Model.ProductId</p>
        <p>Name: @Model.Name</p>
        <p>Price: @Model.Price</p>
    </div>
</body>
</html>

在上面的示例中，Index.cshtml 是一个简单的视图文件，用于显示产品的详细信息。它使用了 Razor 语法来绑定模型数据，并将产品的 ID、名称和价格显示在页面上。

视图与模型的交互

视图通常与模型进行交互，以获取和呈现数据。控制器负责将模型数据传递给视图，并将视图的用户输入发送回控制器进行处理。

示例代码

HomeController.cs

using System.Web.Mvc;
using MyApplication.Models;

namespace MyApplication.Controllers
{
    public class HomeController : Controller
    {
        // GET: Home
        public ActionResult Index()
        {
            Product product = new Product
            {
                ProductId = 1,
                Name = "Smartphone",
                Price = 499.99
            };

            return View(product);
        }
    }
}

在上面的示例中，HomeController 控制器的 Index 方法创建了一个名为 product 的产品对象，并将其传递给名为 Index.cshtml 的视图进行呈现。

通过合理地设计和使用视图，可以实现用户界面的动态呈现和交互，从而提升用户体验和应用程序的交互性。

MVC 数据库

在 MVC 应用程序中，数据库扮演着非常重要的角色，它用于存储和检索数据，为应用程序提供持久性数据存储的能力。在 MVC 架构中，数据库通常由模型层负责管理，模型负责与数据库进行交互，并将数据提供给控制器和视图。

数据库操作

MVC 应用程序与数据库的交互主要包括以下几种操作：

数据检索（查询）：从数据库中检索数据以供应用程序使用。这可能涉及到查询数据表、过滤结果、排序数据等操作。
数据插入：将新数据插入到数据库中。例如，用户提交表单时，将表单数据保存到数据库中。
数据更新：更新现有数据的值。当用户编辑数据时，将修改后的数据更新到数据库中。
数据删除：从数据库中删除不再需要的数据。

数据库技术

MVC 应用程序可以与各种类型的数据库技术进行集成，包括关系型数据库（如 SQL Server、MySQL、PostgreSQL）、NoSQL 数据库（如 MongoDB、Redis）等。选择合适的数据库技术取决于应用程序的需求、性能要求、数据结构等因素。

数据库操作的实现

在 MVC 应用程序中，数据库操作通常由模型层来实现。模型类通常会包含与数据库表对应的属性，并定义了操作这些数据的方法。在控制器中，您可以调用模型的方法来执行数据库操作，并将结果传递给视图进行呈现。

示例代码

Product.cs（模型类）

using System.ComponentModel.DataAnnotations;

namespace MyApplication.Models
{
    public class Product
    {
        public int ProductId { get; set; }

        [Required]
        public string Name { get; set; }

        [Range(0, double.MaxValue)]
        public double Price { get; set; }
    }
}

using System.ComponentModel.DataAnnotations;：这是一个命名空间引用，它使我们能够使用 System.ComponentModel.DataAnnotations 命名空间中定义的属性。

namespace MyApplication.Models：这个类位于名为 MyApplication.Models 的命名空间下。

public class Product：这行代码定义了一个名为 Product 的公共类。

public int ProductId { get; set; }：这是一个自动属性，用于表示产品的 ID。自动属性不需要显式定义私有字段，编译器会自动生成对应的私有字段。

[Required]：这是一个数据注解（Data Annotation），用于定义数据的验证规则。在这里，[Required] 表示 Name 属性是必填的，即不能为空。

public string Name { get; set; }：这是另一个自动属性，用于表示产品的名称。它具有 [Required] 数据注解，表明名称是必填的。

[Range(0, double.MaxValue)]：这是另一个数据注解，用于定义数据的验证规则。在这里，[Range(0, double.MaxValue)] 表示 Price 属性的值必须在 0 和 double.MaxValue 之间，即价格必须为非负数。

public double Price { get; set; }：这是表示产品价格的自动属性。它具有 [Range] 数据注解，用于限制价格的范围。

这个 Product 类定义了产品的属性，包括产品的 ID、名称和价格。通过数据注解，我们可以对属性进行验证，以确保数据的有效性和完整性。这样的模型类通常用于表示数据库中的表结构或应用程序中的实体对象。

ProductRepository.cs（数据访问类）

using System.Collections.Generic;
using System.Linq;

namespace MyApplication.Models
{
    public class ProductRepository
    {
        private List<Product> products = new List<Product>();

        public ProductRepository()
        {
            // 初始化示例数据
            products.Add(new Product { ProductId = 1, Name = "Product 1", Price = 99.99 });
            products.Add(new Product { ProductId = 2, Name = "Product 2", Price = 149.99 });
            products.Add(new Product { ProductId = 3, Name = "Product 3", Price = 199.99 });
        }

        public IEnumerable<Product> GetAllProducts()
        {
            return products;
        }

        public Product GetProductById(int id)
        {
            return products.FirstOrDefault(p => p.ProductId == id);
        }

        public void AddProduct(Product product)
        {
            products.Add(product);
        }

        public void UpdateProduct(Product product)
        {
            var existingProduct = products.FirstOrDefault(p => p.ProductId == product.ProductId);
            if (existingProduct != null)
            {
                existingProduct.Name = product.Name;
                existingProduct.Price = product.Price;
            }
        }

        public void DeleteProduct(int id)
        {
            var product = products.FirstOrDefault(p => p.ProductId == id);
            if (product != null)
            {
                products.Remove(product);
            }
        }
    }
}

using System.Collections.Generic; 和 using System.Linq;：这两行代码是命名空间的引用，它们使我们能够使用 System.Collections.Generic 和 System.Linq 命名空间中定义的类型和功能。

namespace MyApplication.Models：这个类位于名为 MyApplication.Models 的命名空间下。

public class ProductRepository：这行代码定义了一个名为 ProductRepository 的公共类，它负责管理产品数据。

private List<Product> products = new List<Product>();：这是一个私有字段，它表示产品列表。在这个示例中，我们使用 List<Product> 类型来存储产品数据。

public ProductRepository()：这是 ProductRepository 类的构造函数。在构造函数中，我们初始化了示例数据，向产品列表中添加了几个示例产品。

public IEnumerable<Product> GetAllProducts()：这是一个公共方法，用于获取所有产品。它返回产品列表作为 IEnumerable<Product> 类型。

public Product GetProductById(int id)：这是另一个公共方法，用于根据产品 ID 获取单个产品。它使用 LINQ 查询语法从产品列表中查找具有指定 ID 的产品，并返回找到的产品对象。

public void AddProduct(Product product)：这是一个用于添加新产品的公共方法。它接收一个 Product 对象作为参数，并将其添加到产品列表中。

public void UpdateProduct(Product product)：这是用于更新现有产品的方法。它接收一个 Product 对象作为参数，查找具有相同 ID 的现有产品，并更新其名称和价格。

public void DeleteProduct(int id)：这是用于删除产品的方法。它接收一个产品 ID 作为参数，查找具有相同 ID 的产品，并从产品列表中删除它。

通过 ProductRepository 类，我们可以方便地对产品数据进行各种操作，包括获取所有产品、根据 ID 获取单个产品、添加新产品、更新现有产品以及删除产品。这样的数据访问类通常用于封装数据库操作，使其更易于管理和使用。

通过模型和数据访问类的结合，MVC 应用程序可以方便地与数据库进行交互，并实现各种数据操作的需求。

MVC 模型

在 MVC 架构中，模型代表应用程序的数据和业务逻辑。它负责处理数据的存储、检索和处理，并执行与数据相关的业务逻辑。模型通常是控制器和视图之间的中介，负责在两者之间传递数据。

主要职责

数据管理：模型负责管理应用程序的数据，包括从数据库中检索数据、对数据进行操作（增删改查）以及将数据存储回数据库。
业务逻辑：模型包含应用程序的业务逻辑，即处理数据的方式和规则。它定义了数据的验证、处理逻辑和业务规则，以确保数据的完整性和一致性。
数据传递：模型负责在控制器和视图之间传递数据。它从数据库中检索数据，并将数据提供给控制器，控制器再将数据传递给视图进行呈现。

特点

独立性：模型通常是与特定数据源无关的，它可以与不同类型的数据源（如关系型数据库、NoSQL 数据库、Web 服务等）进行交互。
可测试性：由于模型只包含数据和业务逻辑，不涉及用户界面或 HTTP 请求，因此它们通常很容易进行单元测试和集成测试。
重用性：模型的设计目标是促进代码的重用和组件化。通过将数据和业务逻辑封装在模型中，可以在应用程序的不同部分重复使用相同的模型。

示例

在一个电子商务应用程序中，模型可以表示产品、订单、用户等核心实体，并包含与之相关的业务逻辑。例如，一个名为 Product 的模型可能包含以下功能：

从数据库中检索产品列表。
根据产品 ID 获取单个产品的详细信息。
添加新产品到数据库。
更新现有产品的信息。
从数据库中删除产品。

通过合理地设计和使用模型，可以使应用程序的数据管理更加高效和可靠，并保持业务逻辑的清晰和一致。

MVC 安全

MVC 应用程序的安全性是至关重要的，它涉及到保护用户的隐私信息、防止恶意攻击以及确保应用程序的稳定性。下面是一些常见的安全措施和技术，开发人员应该在 MVC 应用程序中实施：

用户认证和授权

用户认证：确保用户是其声称的那个人。常见的认证方式包括用户名密码认证、第三方身份验证（如 OAuth）等。ASP.NET MVC 提供了内置的身份认证和身份验证机制，可以轻松集成到应用程序中。
授权：确定用户是否有权限执行特定操作或访问特定资源。授权通常与身份验证配合使用，以确保用户只能访问其被授权的资源。在 MVC 中，可以使用角色基础的授权或声明基础的授权来实现。

[Authorize(Roles = "Admin")]
public ActionResult AdminPanel()
{
    // Only users with "Admin" role can access this action
    return View();
}

输入验证

防止SQL注入：使用参数化查询或存储过程来执行数据库操作，而不是直接拼接 SQL 查询字符串。
防止跨站点脚本攻击（XSS）：对用户输入进行过滤和编码，确保不会被作为 HTML 或 JavaScript 解释和执行。

1	@Html.DisplayFor(model => model.UserName)

防止跨站点请求伪造（CSRF）

使用 AntiForgeryToken：CSRF 攻击是一种利用受害者在已经认证的情况下发送恶意请求的攻击方式。为了防止这种攻击，ASP.NET MVC 提供了 @Html.AntiForgeryToken() 辅助方法，用于在表单中生成一个随机的安全标记（AntiForgeryToken）。在后端，我们可以使用 [ValidateAntiForgeryToken] 特性来验证请求中是否包含正确的 AntiForgeryToken。

在视图中，我们通过 @Html.AntiForgeryToken() 将 AntiForgeryToken 嵌入到表单中。在后端的控制器方法中，我们添加了 [ValidateAntiForgeryToken] 特性，以确保提交的表单中包含正确的 AntiForgeryToken。

具体步骤如下：

在视图中，使用 @Html.AntiForgeryToken() 将 AntiForgeryToken 嵌入到表单中。

@using (Html.BeginForm("Action", "Controller"))
{
    @Html.AntiForgeryToken()
    <!-- 其他表单字段 -->
    <input type="submit" value="Submit" />
}

在控制器的 POST 方法中，添加 [ValidateAntiForgeryToken] 特性，并在方法内部验证 AntiForgeryToken。

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult Action()
{
    // 验证 AntiForgeryToken
    if (!ModelState.IsValid)
    {
        // 表单验证失败
        return View();
    }

    // 其他逻辑

    return RedirectToAction("Success");
}

这样做可以有效地防止 CSRF 攻击，因为攻击者无法获取到正确的 AntiForgeryToken，从而无法在受害者的身份下提交恶意请求。

HTTPS 和数据加密

使用 HTTPS：确保敏感数据在传输过程中通过加密通道进行传输，以防止窃听和中间人攻击。
数据加密：对敏感数据进行加密存储，使用加密算法保护数据的机密性。

安全头部设置

X-Content-Type-Options：确保浏览器不会对响应的 MIME 类型进行修改。
X-Frame-Options：防止点击劫持攻击，限制页面在 iframe 中的加载。
Content-Security-Policy：限制网页内容能够加载的来源，防止 XSS 攻击。

protected void Application_Start()
{
    // Add security headers
    AntiForgeryConfig.SuppressXFrameOptionsHeader = false;
    System.Web.Helpers.AntiForgeryConfig.UniqueClaimTypeIdentifier = System.Security.Claims.ClaimTypes.NameIdentifier;
}

这段代码是在 ASP.NET 应用程序的全局文件 Global.asax.cs 中的 Application_Start 方法中添加的。

AntiForgeryConfig.SuppressXFrameOptionsHeader = false;：这行代码设置了 SuppressXFrameOptionsHeader 属性为 false。默认情况下，ASP.NET MVC 在请求的响应中会包含 X-Frame-Options 头，用于防止点击劫持攻击。通过将此属性设置为 false，我们允许 ASP.NET MVC 在响应中包含 X-Frame-Options 头。

System.Web.Helpers.AntiForgeryConfig.UniqueClaimTypeIdentifier = System.Security.Claims.ClaimTypes.NameIdentifier;：这行代码设置了用于唯一标识用户的声明类型。在身份验证和授权过程中，ASP.NET MVC 使用这个声明类型来识别用户。通常情况下，NameIdentifier 被用作唯一标识用户的声明类型，因为它通常包含用户的唯一标识（如用户 ID 或用户名）。

安全补丁和更新

及时应用操作系统、框架和第三方库的安全补丁和更新，以修复已知的漏洞和安全问题。

通过合理地实施这些安全措施，可以有效地保护 MVC 应用程序和用户的数据安全，降低遭受恶意攻击的风险。

MVC HTML 帮助器

MVC HTML 帮助器是一组用于生成 HTML 元素的强大工具。它们提供了简化 HTML 元素创建的方法，使开发人员能够以更简洁和更具可读性的方式构建视图。

常用的 HTML 帮助器

表单相关帮助器：用于生成表单及其字段。
- Html.BeginForm()：生成表单的起始标记。
- Html.EndForm()：生成表单的结束标记。
- Html.TextBoxFor()：生成文本框。
- Html.TextAreaFor()：生成多行文本框。
- Html.DropDownListFor()：生成下拉列表框。
- Html.CheckBoxFor()：生成复选框。
- Html.RadioButtonFor()：生成单选按钮。
链接和路由帮助器：用于生成超链接和路由链接。
- Html.ActionLink()：生成指向控制器操作方法的链接。
- Html.RouteLink()：生成指定路由的链接。
图像相关帮助器：用于生成图像元素。
- Html.Image()：生成图像元素。
资源相关帮助器：用于生成 CSS 和 JavaScript 引用。
- Html.Css()：生成 CSS 文件引用。
- Html.Script()：生成 JavaScript 文件引用。

示例

让我们通过一个简单的示例来演示 HTML 帮助器的使用：

假设我们有一个名为 User 的模型，其中包含 Name 和 Email 两个属性。我们想要创建一个表单，让用户输入他们的姓名和电子邮件地址。

public class User
{
    public string Name { get; set; }
    public string Email { get; set; }
}

在视图中，我们可以使用 HTML 帮助器来生成这个表单：

@model User

@using (Html.BeginForm("Save", "User"))
{
    <div>
        @Html.LabelFor(model => model.Name)
        @Html.TextBoxFor(model => model.Name)
    </div>
    <div>
        @Html.LabelFor(model => model.Email)
        @Html.TextBoxFor(model => model.Email)
    </div>
    <button type="submit">Save</button>
}

在这个示例中，我们使用了 Html.BeginForm() 开始了一个表单，然后使用 Html.LabelFor() 和 Html.TextBoxFor() 分别生成了姓名和电子邮件地址的标签和文本框。最后，我们添加了一个提交按钮。

通过使用 HTML 帮助器，我们可以避免手动编写 HTML，提高了代码的可读性和可维护性，并且确保了生成的 HTML 元素符合标准。

ASP.NET MVC 基础

MVC 应用程序

Web Forms 对比 MVC

Web Forms

MVC

对比

MVC 文件夹

1. Controllers（控制器）

2. Models（模型）

3. Views（视图）

4. Scripts（脚本）

5. Content（样式表）

6. App_Start

7. App_Data

8. Areas

9. App_GlobalResources

10. App_LocalResources

MVC 布局

布局的优势

创建布局

示例代码

_Layout.cshtml

在视图中使用布局

示例代码

使用部分视图

示例代码

_Navbar.cshtml

_Layout.cshtml

MVC 控制器

控制器的功能

控制器的实现

示例代码

控制器的路由

示例代码

MVC 视图

视图的功能

创建视图

示例代码

Index.cshtml

视图与模型的交互

示例代码

HomeController.cs

MVC 数据库

数据库操作

数据库技术

数据库操作的实现

示例代码

Product.cs（模型类）

ProductRepository.cs（数据访问类）

MVC 模型

主要职责

特点

示例

MVC 安全

用户认证和授权

输入验证

防止跨站点请求伪造（CSRF）

HTTPS 和数据加密

安全头部设置

安全补丁和更新

MVC HTML 帮助器

常用的 HTML 帮助器

示例

1. `Controllers`（控制器）

2. `Models`（模型）

3. `Views`（视图）

4. `Scripts`（脚本）

5. `Content`（样式表）

6. `App_Start`

7. `App_Data`

8. `Areas`

9. `App_GlobalResources`

10. `App_LocalResources`