绕过控制器验证

Question

我目前正在为登录用户编写一次性共享功能，以便将一次性链接发送给另一个人（没有先前的用户帐户）。

目前，我有一个基本控制器，用于验证用户/密码凭据，并处理身份验证和我的所有控制器从该基本控制器扩展。

要处理一次性分享，我：

• 生成唯一ID
• 插入id，日期字段设置为NULL db
• 向用户发送指向控制器的链接，该控制器作为参数 独特的身份
• 访问链接时，如果存在唯一ID，则 如果日期为NULL，那么我向用户显示正确的视图并设置 日期字段到TIMESTAMP恰好在那一刻。

这有效，但......

我有另一个控制器（ / media ），其任务是从安全路径中检索图像，并将其作为图像输出。在一次性视图中，我正在访问图像：

<img src="/media/image-id" />

由于该控制器从处理登录的基本控制器扩展，因此拒绝没有帐户的一次性用户访问。

我不想失去这种安全级别，但我需要有办法让一次性用户访问内容。

• 我应采取什么方法来规避一次性用户的控制器安全性？

感谢您的任何见解！

S上。

Answer 1

如果没有看到你如何组织你的基本控制器或从中扩展的控制器，那么很难说。我们所能做的就是猜测。您是否尝试过进行临时会话以允许用户对基本控制器进行身份验证？我的意思是，建立一个会话，根据链接限制他们的访问？这样你的安全系统仍在使用，你不必做任何黑客工作。