Как в ASP.NET Core Web API реализовать метод удаления пользователя по Id так, чтобы один пользователь не мог удалить другого?

Question

[dgash2201]

Здравствуйте! Я хочу реализовать метод удаления пользователя по Id. Но ведь пользователь может ввести Id другого пользователя и удалить его аккаунт. Как можно от этого защититься? Чтобы пользователь мог удалить только свой аккаунт.

Comments

[edward_freedom]

а зачем передавать ид в апи? Можно же по токену определить какой пользователь и его страницу

[Василий Банников]

edward_freedom, чтобы админ например мог удалить

[Василий Банников]

Просто проверяй это перед удалением.

[dgash2201]

Василий Банников, А как можно достать Id из токена?

[Роман]

dgash2201, Так в токен можно claims добавить.

[edward_freedom]

Василий Банников, в админку мидлвэр не пропустит обычного пользователя, это сразу отпало из предположений

Answer 1

[Владимир Коротенко]

https://docs.microsoft.com/ru-ru/dotnet/api/micros...
На контроллер удаления.

Оба этих метода закрываете этим аттрибутом
GET /api/account/delete выдает страницу
POST /api/account/delete удаляет пользователя