entity-framework – 在mvc中使用控制器中的模型类是不好的做法

例如,考虑UserProfile的实体模型：

public class UserProfile
  {
    public string UserName { get; set; }
    public bool IsAdmin { get; set; }
    public string EmailAddress { get; set; }
    public string FirstName { get; set; }
    public string LastName { get; set; }
  }

您的用户配置文件页面允许用户编辑其FirstName,LastName和EmailAddress.

一个不道德的用户可以简单地修改表单以发布“IsAdmin”以及其他值.因为您的Action期望输入UserProfile,所以IsAdmin值也将被映射,并最终保持不变.

这是an excellent writeup about the perils of under and overposting.

但是,我认为将Entity模型直接绑定到[HttpGet]方法没有错.