2008年4月1日火曜日

ASP.NET MVCでRESTful

いつまで続くこのシリーズ。 いい加減しつこいっすね...。

前回まででAjaxなForm認証ができるようになったので、今度はRESTfulに挑戦! で、ここで気になったのがWCF。以前にWCF使ってRESTfulだなんだとやってみたのに、改めて同じようなことを実装しなおすのはどうなんですか、という想いがこみ上げてくる。

でも、気になったので仕方ない。気になったもの負け。 今回はHTTP Methodをどうやってアクションに結びつけるのがいいのか結構悩みました。 出力するのはJSON固定で行こうと思うので、ControllerのViewEngineを切り替えずにお気軽JSON出力の仕組みは前回のまま。

ControllerFactoryがどうのこうの?カスタムActionFilterAttribute?そもそもルーティングの問題? イロイロ考えた結果、すごく簡単に実装する方法がありました。 「OnActionExecutionオーバーライドでよくね?」 HandleUnknownActionとかも考えてみたものの、これが一番簡単っぽいな、と。

  1. ActionFilterAttributeから派生したRESTfulFilterAttributeを作成。
  2. Controllerから派生したRESTfulControllerを作成。
  3. 通常のControllerを作って、親クラスをRESTfulControllerに変更。
  4. CRUDリクエストを受け付けるActionを決めて、その他のActionにRESTfulFilter属性を指定。
処理の流れとしては↓こんな感じ。
普通にルーティング(controller/action/{id})される。 ↓ RESTfulControllerのOnActionExecutionで実行前に処理を横取り。 ↓ HTTP Methodを取得。 ↓ GET以外(この制限はなくてもいいんだけど)ならRESTfulFilterのついたメソッドをリフレクションで抽出。 ↓ HTTP Methodに対応するActionをInvokeAction。同時に自身の実行をキャンセル。
簡単な例としてstaticなList<T>に対するCRUDを実装することにしてみました。 まずはActionFilterAttribute。
using System.Web.Mvc;

namespace MvcApplication1.Filters
{
 public class RESTfulFilterAttribute:ActionFilterAttribute
 {
   public string AttachedAction { get; set; }
   public string HttpMethod { get; set; }

   public RESTfulFilterAttribute() : this("", "") { }
   public RESTfulFilterAttribute(string action, string method)
   {
     AttachedAction = action;
     HttpMethod = method;
   }
 }
} 

AttachedActionっていうパラメータに、受付元のアクション名を入れる。ホントはこれを単純にstringじゃなくてUriTemplateとかにしたほうがカッコいいんだろうな~。 で、HttpMethodにはGET以外の処理したいHTTP Methodを入れる。 次に、ベースとなるコントローラを作成。 今回は1つしかRESTfulなコントローラを作ってないけど、他にも作るようならここで作ったControllerを親クラスに指定する。

using System; using System.Web.Mvc; using System.Reflection; using MvcApplication1.Filters; namespace MvcApplication1.Controllers { public class RESTfulController : Controller { protected override void OnActionExecuting(FilterExecutingContext filterContext) { string httpMethod = filterContext.HttpContext.Request.HttpMethod.ToLower(); if (httpMethod != "get") { string actionName = filterContext.ActionMethod.Name; Type ctrl = this.GetType(); if (ctrl.GetMethod(methodname).GetCustomAttributes(typeof(RESTfulFilterAttribute), false).Length != 0) return; var attrs = from mi in ctrl.GetMethods() from attr in mi.GetCustomAttributes(typeof(RESTfulFilterAttribute), false) select new { ActionName = mi.Name, Action = (RESTfulFilterAttribute)attr }; foreach (var attr in attrs) { if (attr.Action.AttachedAction == actionName && attr.Action.HttpMethod.ToLowner() == httpMethod) { filterContext.Cancel = true; InvokeAction(attr.ActionName); } } } } } }

追記 すいません。上記コード間違えてましたね。対応付けするアクション名を比較する部分がさっくり抜けてました。HttpMethodしかチェックしてないコードでしたね。 直しついでに、LINQにしておきました(少しだけカッコの数を減らせます)。 で、上記Controllerを親クラスにした、Controllerを作成。 内容としては、staticで持ってるList<T>に対するCRUD。単純ですね。 イメージはBookmarkを登録したりする感じにしてみたので、名前はBookmarksにしてます。 ※全然入力内容をチェックとかしてないから、あんまり意味ない...。

using System.Collections.Generic; using System.Web.Mvc; using MvcApplication1.Models; using MvcApplication1.Filters; namespace MvcApplication1.Controllers { public class Api2Controller : RESTfulController { public static List bookmarks = new List(); BookmarksViewData viewData = new BookmarksViewData(); public void Bookmarks(int? id) { if (id == null) InvokeAction("GetAll"); else InvokeAction("Get"); } public void GetAll() { viewData.data = bookmarks.ToArray(); viewData.result = true; RenderView("Bookmarks", viewData); } public void Get(int id) { if (bookmarks.Count > id) { viewData.data = new Bookmark[] { bookmarks[id] }; viewData.result = true; } else viewData.result = false; RenderView("Bookmarks", viewData); } [RESTfulFilter(AttachedAction = "Bookmarks", HttpMethod = "POST")] public void AddNew() { Bookmark bm = new Bookmark(); bm.Title = this.ReadFromRequest("title"); bm.Url = this.ReadFromRequest("url"); bookmarks.Add(bm); viewData.result = true; RenderView("Bookmarks", viewData); } [RESTfulFilter(AttachedAction = "Bookmarks", HttpMethod = "PUT")] public void Update(int id) { if (bookmarks.Count > id) { bookmarks[id].Title = this.ReadFromRequest("title"); bookmarks[id].Url = this.ReadFromRequest("url"); viewData.result = true; } else viewData.result = false; RenderView("Bookmarks", viewData); } [RESTfulFilter(AttachedAction = "Bookmarks", HttpMethod = "DELETE")] public void Delete(int id) { if (bookmarks.Count > id) { bookmarks.RemoveAt(id); viewData.result = true; } else viewData.result = false; RenderView("Bookmarks", viewData); } } }

この中のBookmarksっていうActionがすべてのHTTP Methodを受け付けるイメージです。 なのでアクセスするアドレスは↓こんな感じ。 GETで一覧取得 Bookmarks/ GETで1つ取得 Bookmarks/{id} POSTで新規作成 Bookmarks/ PUTで更新 Bookmarks/{id} DELETEで削除 Bookmarks/{id}

なんで、GETだけ特別なんだ...。そもそも受け付け用のアクションは定義しないで、HandleUnknownActionで全部処理しちゃってもいいね。

でも、直接個別のActionも呼び出せちゃうのはご愛敬。制限つけるならつけるで。 Bookmarkクラスは単純。

using System.Runtime.Serialization;

namespace MvcApplication1.Models
{
 [DataContract]
 public class Bookmark
 {
   [DataMember]
   public string Title { get; set; }
   [DataMember]
   public string Url { get; set; }
 }

 [DataContract]
 public class BookmarksViewData
 {
   [DataMember]
   public Bookmark[] data { get; set; }
   [DataMember]
   public bool result { get; set; }
 }
}

ついでに、ViewDataも定義しておきます。 コードばっかり書いて説明が少ないのは、面倒だからデス! さて次に、クライアント側の機能ですが、前に作ったのとほとんど変化なし。 前回のAjax認証のページにがっつり追加(Views/Home/Index)です。

<%@ Page Language="C#" MasterPageFile="~/Views/Shared/Site.Master" AutoEventWireup="true" CodeBehind="Index.aspx.cs" Inherits="MvcApplication1.Views.Home.Index" %>
<%@import Namespace="MvcApplication1.Controllers" %>
<asp:Content ID="indexContent" ContentPlaceHolderID="MainContentPlaceHolder" runat="server">
<form>
 ID:<%=Html.TextBox("id") %><br />
 Title:<%=Html.TextBox("title") %><br />
 Url:<%=Html.TextBox("url") %><br />
 <br />
 <h2>ASP.NET MVCで実装</h2>
 <input type="button" value="全取得" onclick="mvcCall('Bookmarks/','get')" />
 <input type="button" value="取得" onclick="mvcCall('Bookmarks/'+$F('id'),'get')" />
 <input type="button" value="追加" onclick="mvcCall('Bookmarks/','post')" />
 <input type="button" value="更新" onclick="mvcCall('Bookmarks/'+$F('id'),'put')" />
 <input type="button" value="削除" onclick="mvcCall('Bookmarks/'+$F('id'),'delete')" />
 <div id="mvcRes"></div>
</form>

<script type="text/javascript">
function mvcCall(action,method)
{
 $("mvcRes").innerHTML = "loading...";
 var params = $H({"title":$F("title"), "url":$F("url")}).toQueryString();
 new Ajax.Request("Api2/" + action,
 {
   method:method,
   postBody:params,
   requestHeaders: ["Content-type","application/x-www-form-urlencoded"],
   onComplete: function(ajax){
     $("mvcRes").innerHTML = ajax.responseText;
   }
 });
}
</script>
</asp:Content>

PUT/DELETE出来るようにprototype.jsの改造版使います。

img.aspx ↑こんな具合に動きます。 全取得とか追加とか削除とか。 ちなみにIDとして指定するのはListのインデックスなので0から始まる数字になります。あ、Ajaxの実行結果のViewを書いてなかったですね。

using System.Web.Mvc;

using System.Runtime.Serialization.Json;
using System.IO;
using System.Text;

using MvcApplication1.Models;
namespace MvcApplication1.Views.Api2
{
 public partial class Bookmarks : ViewPage
 {
   public string ToJSON(object obj)
   {
     DataContractJsonSerializer serializer = new DataContractJsonSerializer(obj.GetType());
     using (MemoryStream ms = new MemoryStream())
     {
       serializer.WriteObject(ms, obj);
       return Encoding.Default.GetString(ms.ToArray());
     }
   }

   public override void RenderView(ViewContext viewContext)
   {
     viewContext.HttpContext.Response.StatusCode = 200;
     viewContext.HttpContext.Response.ContentType = "application/json";
     string json = ToJSON(viewContext.ViewData);
     viewContext.HttpContext.Response.Write(json);
   }
 }
}

戻りのContentTypeに"application/json"と書くのを忘れずに。で、内容は単純にViewDataをJSONにシリアライズして出力するだけのものです。 ここまでで、一番つまずいたのがクライアント側からサーバーにデータを送るときのContentTypeの指定部分です。最初これを入れてなかった (Ajax.RequestのrequestHeadersに何も指定なし)おかげでPUT時の更新が常にnullという事態に陥りました。

GET とDELETEではQueryStringのidしか見ないから問題なし。POSTのときは指定がなくてもデフォルトで"application/x- www-form-urlencoded"が入るけど、PUTはそもそも改造版だから指定しないと入らなくて、いくらやってもサーバーで取得できない罠。 MVCのソース追っかけても単純にラッピングしてるだけでRequestを書き換えてるようにも見えなかったから、何がどうなってるのかすごく悩みました。 結局、Request.ContentTypeを見てみたら空っぽだったのを発見して、無事動くようになりました。prototype.jsに頼りきってたので罰が当たった。

ここまで来たら、次はこれのWCF版も欲しくなる。ルーティングとかどうなるんだろう...。

とかいろいろ悩んだものの、特に気にすることなくControllersとかViewsじゃないフォルダをルートに作ってそこにsvcを入れてしまえばいいことに気がついた。あえてMVCにルーティングしてもらうことないもんね。結局中身は以前作ったのと同じなので省略(RequestとResponseはJSON)...。 クライアント側だけ少し違う。

<%@ Page Language="C#" MasterPageFile="~/Views/Shared/Site.Master" AutoEventWireup="true" CodeBehind="Index.aspx.cs" Inherits="MvcApplication1.Views.Home.Index" %>
<%@import Namespace="MvcApplication1.Controllers" %>
<asp:Content ID="indexContent" ContentPlaceHolderID="MainContentPlaceHolder" runat="server">
<form>
 ID:<%=Html.TextBox("id") %><br />
 Title:<%=Html.TextBox("title") %><br />
 Url:<%=Html.TextBox("url") %><br />
 <br />
 <h2>WCFで実装</h2>
 <input type="button" value="全取得" onclick="wcfCall('Bookmarks.svc/','get')" />
 <input type="button" value="取得" onclick="wcfCall('Bookmarks.svc/'+$F('id'),'get')" />
 <input type="button" value="追加" onclick="wcfCall('Bookmarks.svc/','post')" />
 <input type="button" value="更新" onclick="wcfCall('Bookmarks.svc/'+$F('id'),'put')" />
 <input type="button" value="削除" onclick="wcfCall('Bookmarks.svc/'+$F('id'),'delete')" />
 <div id="wcfRes"></div>
</form>

<script type="text/javascript">
function wcfCall(action,method)
{
 $("wcfRes").innerHTML = "loading...";
 var params = method=="post"||method=="put" ? $H({title:$F("title"),url:$F("url")}).toJSON() : "{}";
 new Ajax.Request("/Wcf/" + action,
 {
   method:method,
   postBody:params,
   requestHeaders: ["Content-type","application/json"],
   onComplete : function(ajax){
     $("wcfRes").innerHTML = ajax.responseText;
   }
 });
}

</script>
</asp:Content>

ContentTypeとpostBodyの中身がJSONになってるのと、リクエスト先が違うだけ。 結局、ASP.NET MVCだけで作るのと、WCFも組み合わせて作るのとどっちがいいんだろう。書かなきゃいけないコード量はほとんど違わないし(RESTfulControllerとRESTfulFilterは最初に1回書くだけだし)。 Action単位のアクセス制限とか、今回試してないけどその辺で違いが出てくるのかな~。 Nikhil Kothari's Weblog : Ajax with the ASP.NET MVC Framework

そうそう、↑ここにAjaxでの部分更新(ascx単位)のやり方が書いてた。部分更新だけなら実装はシンプルで、ViewUserControlのRenderViewを自分で呼び出して返すようなものでした。だけど、その周りにあるいろんな実装が大量でゲンナリ。 調べるだけなのはもう疲れたので、せっかくだからASP.NET MVCでなんか作ってみようっと。

TempDataとRailsのflash

ASP.NET MVCをちょこちょこ調べるシリーズの最後に何か作ってみようと思って、ヘコヘコやってるところなんだけど、TempDataにやられた...。

もちろんベータ版だし、最終的には解決されるんだろうとは思うけど、少なくとも今のバージョンでは、SQLServerをセッションストアにしたときに、TempDataが機能しませぬ。 TempDataはそもそもSessionを使って実装してるって言うのは、まぁそうだろうと(どっかに書いてたし)。RedirectToActionとかした場合に、コンテキストが切り替わって情報を持っていけないんだから納得です。 でも、そのTempDataの実装、TempDataCollectionが内部で使ってるのが Pair<Dictionary<string, object>, HashSet<string>>。これがシリアライズできない...。だからInProcならいいけど、SQLだとSessionに入らないです。もちろんStateサーバーもシリアライズできないからダメ。

どうしたものか。SessionをInProcで使うのってなんか、気持ち悪いじゃないですか(そんなこと無い?)。 なので、もっと簡単に同じ仕組みを作ってしまえばいいんじゃないかと思って、FlashData(railsの同じ仕組みはflashという)のを作ってみました。無駄な作業とか言わないで!

public class FlashDataCollection { const string SESSIONKEY = "RevasFlashDataSessionKey"; Dictionary _flashData; HttpContextBase _httpContext; public FlashDataCollection(HttpContextBase httpContext) { if (httpContext != null) { this._httpContext = httpContext; this._flashData = httpContext.Session[SESSIONKEY] as Dictionary; this._httpContext.Session.Remove(SESSIONKEY); } if (this._flashData == null) this._flashData = new Dictionary(); } public object this[string key] { get { if (this._flashData.ContainsKey(key)) return this._flashData[key]; else return null; } set { this._flashData[key] = value; this._httpContext.Session[SESSIONKEY] = this._flashData; } } }

こんなクラスで。 やってることは↓これだけ。

  • ControllerのExecuteでFlashDataCollectionをnew。
  • FlashDataCollectionのコンストラクタで、Sessionに入ってるならそっちを復元してSessionからRemove。
  • 無ければDictionary<string,object>をnew。
  • 後は、インデクサで値をセットするたびにSessionに入れなおす。
んで、ControllerはExecuteをoverrideしたCusomControllerを作っておいて、こっちを派生させる。

public FlashDataCollection FlashData = null; protected override void Execute(ControllerContext controllerContext) { this.FlashData = new FlashDataCollection(controllerContext.HttpContext); base.Execute(controllerContext); }

こんな感じでいいんじゃないかと。 Controller ではTempDataの代わりにFlashDataに値を入れて、RedirectToActionしたときとかにはこっちを参照。ただし、これだけだと、Viewで参照できない(Controllerに入れちゃってるんで)ので、今度はRenderViewをoverrideするかとも思ったけど、そこまでしなくても次のバージョンとかではTempDataもシリアライズできるようにしてくると(期待して)思うので、今回はあえて CustomViewDataを作って、そのViewDataクラスに値を入れ込んでいくって言う方法にしときました(分かりにくい説明だ...)。 たとえば、Home/Inputっていうアクションで入力した内容をHome/Saveって言うアクションにPOSTしたとき、入力値の検証なんかは ModelでやるからSaveで値を取得した後にエラーだと判明するわけだったりするじゃないですか。そしたらエラーメッセージと入力値を TempDataに入れて、Home/InputにRedirectToActionで飛ばすでしょ。そんな使い方のときにうまいことやりたいっす。 ViewDataはSerializable属性付けて自分で作ったクラスを使うようにしておけば、うまくいくっちゃ! そんなこんなでなかなか先に進まないっちゃ! ところで、RouteValueDictionaryのコンストラクタってちょっと不思議だな~、と思ってどうやってんのかと思ったら、普通にリフレクションしてるだけみたい。

routes.Add(new Route("{controller}/{action}/{id}", new MvcRouteHandler()) { Defaults = new RouteValueDictionary(new { action = "Index", id = "" }), });

↑この無名クラスをnewで初期化してるとこ。:action=>"Index",:id=""みたいな書き方で、Dictionaryになるんだよ?

public static System.Collections.IDictionary MakeDictionary(object withProperties) { System.Collections.IDictionary dic = new Dictionary(); foreach (var property in withProperties.GetType().GetProperties(BindingFlags.Public|BindingFlags.Instance)) { dic.Add(property.Name, property.GetValue(withProperties,null)); } return dic; }

↑こんな感じの実装でちゃんとDictionaryになるのね。シンプルでよろしだね。

Turn Anonymous Types into IDictionary of values - ISerializable - Roy Osherove's Blog

2008年3月21日金曜日

ASP.NET MVCでAjaxな認証

ASP.NET Ajaxとの相性が良くないよね、という思いからprototype.jsへ返り咲き。 jQueryにはすごいのがあったしね。あ、でもそこまで(Controllerを派生させてExecuteとRenderViewをオーバーライドして、Site.Masterか Ajax.Masterか切り替え。さらにクライアントサイドのjQueryで対象エレメント部だけを抽出しなおして描画に反映。すごくて感動した)のはちょっと面倒なので、軽くね。

  1. まず、普通にASP.NET MVC(Preview2)でプロジェクト作成。
  2. そしたらControllers/Models/Views/Contentフォルダができるので、このContentにprototype.jsを入れる。
  3. Controllersに名前を"SecureController"を作成(なんでもいいんだけど)。
  4. Controllersに名前を"ApiController"を作成(なんでもいいんだけど)。
  5. Views/Homeフォルダに"Mvc View Content Page"をテンプレートに"Login.aspx"を作成。
  6. 同じくViews/Apiフォルダ(作る)に"Mvc View Page"(ここ大事!)をテンプレートに"Login.aspx"を作成。
  7. Views/Secureフォルダ(作る)に"Mvc View Content Page"として"Index.aspx"を作成。

ここまでで準備完了。イメージ的には/Secure/Indexはログインしてないとアクセスできないよ、って言う感じです。 ルートのweb.configでForm認証使うことと、セキュアなパスを指定。

        <authentication mode="Forms">
           <forms loginUrl="/Home/Login"></forms>
       </authentication>

↑これと↓これ。

<location path="Secure"> <system.web> <authorization> <deny users="?"/> </authorization> </system.web> </location>

Views/Shared/Site.Masterのhead要素内にprototype.jsへのscriptタグを作成。

    <script src="/Content/prototype.js" type="text/javascript"></script> 

※常にルートを指すようにしてるけど、相対で参照するようにしたい場合は、ヘルパーを作りましょう。標準で用意してくれることを希望しつつ。 Views/Home/Indexの中身は単純にSecure/Indexへのリンクだけ。これをActionLink<T>で作成(なんかこれがお勧めなリンクの作り方っぽい)。

<%@ Page Language="C#" MasterPageFile="~/Views/Shared/Site.Master" AutoEventWireup="true" CodeBehind="Index.aspx.cs" Inherits="MvcApplication1.Views.Home.Index" %>
<%@import Namespace="MvcApplication1.Controllers" %>
<asp:Content ID="indexContent" ContentPlaceHolderID="MainContentPlaceHolder" runat="server">
   <h2>Ajaxな認証機能</h2>
   <p>
   <%= Html.ActionLink<SecureController>(c=>c.Index(),"Secure Page") %>
   </p>
</asp:Content> 

※@importでコントローラのnamespaceを指定しておく。

img.aspx

"Secure Page"のリンク先は"/Secure/Index"(Indexは省略されてるけど)。 中身は単純に↓こんな感じにしときました。

<h2>要認証!!</h2>
ログインしてないとみれないよ。<br />
Welcome <b><%=User.Identity.Name %></b>!!

この段階でリンクをクリックすると認証してないので、単純に”Home/Login”にリダイレクトされます。なので、今度はそっちを用意。

<%@ Page Title="" Language="C#" MasterPageFile="~/Views/Shared/Site.Master" AutoEventWireup="true" CodeBehind="Login.aspx.cs" Inherits="MvcApplication1.Views.Home.Login" %>
<asp:Content ID="Content1" ContentPlaceHolderID="MainContentPlaceHolder" runat="server">
<form>
 <table>
 <tr>
   <th>Longin ID</th>
   <td><%=Html.TextBox("id") %></td>
 </tr>
 <tr>
   <th>Password</th>
   <td><%=Html.Password("pass") %></td>
 </tr>
 <tr>
   <td colspan="2"><input type="button" value="Login" onclick="login()" /></td>
 </tr>
 </table>
</form>
<script type="text/javascript">
function login() {
 var params = $H({"id":$F("id"), "pass":$F("pass")}).toQueryString();

 new Ajax.Request("/Api/Login",{
   method:"post",
   postBody:params,
   onComplete:function(req){
     var status = req.status;
   
     //req.responseText
     if (status==200)
       alert("Success!! " + req.responseText);
     else
       alert("Fail... " + req.responseText);
   }
 });
}
</script>
</asp:Content> 

認証するためのリクエストパスが"Api/Login"になってるのと、認証結果はRESTfulっぽくステータスコードで判定。今回は成功すれば200(OK)、失敗すれば406(Not Acceptable)を利用(使い方があってるのか自信ないけど...)。 HTTPステータスコード – Wikipedia

続いて、Api/Loginの中身。今回は単純なIDとPasswordを利用してみます。実際にはMembershipを使うと思うけど。

    public void Login()
   {
     string id = this.ReadFromRequest("id");
     string pass = this.ReadFromRequest("pass");

     ViewData["login"] = false;
     if (id == "yama" && pass == "kawa")
     {
       ViewData["login"] = true;
       FormsAuthentication.SetAuthCookie(id, false);
     }

     RenderView("Login");
   } 

続いて、Views/Api/Login。 ここは戻り値を返すだけの機能にしたいし、レスポンス内容をJsonにしてみるために、Masterを参照しないページ(Mvc View Page)にしました。

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="Login.aspx.cs" Inherits="MvcApplication1.Views.Api.Login" %>
(<%= ResponseJson() %>) 

ページの中身は↑これだけ。

public void Page_Load() { Response.ContentType = "application/json"; if ((bool)ViewData["login"] == true) Response.StatusCode = 200; else Response.StatusCode = 406; } public string ResponseJson() { return "{\"result\":" + (ViewData["login"]+"").ToLower() + "}"; }

↑コードもこれだけ。Jsonをベタ書きしてるけど、実際には上手いことシリアライズを使うでしょうね。 で、動かす! img.aspx2

あえて、違うID/Passwordを入れてみる。

img.aspx3

正しく入れる。

img.aspx4

この成功か失敗の判定はレスポンス内容のJsonをevalして判定せず、XHRのstatsプロパティが200かどうかで判定。RESTfulっぽい~。 画像だと分かりにくいけど、画面のリフレッシュは発生してないからね! 最後に、Home/Indexに戻って"Secure Page"のリンクをクリックすると~。

img.aspx5

イエ~イ。 実際にはControllerでSetAuthCookieやるより、Viewでやるの?ViewでJsonとか返したかったらControllerFactory使うの?えらい人教えて! これやってて思ったけど、承認はアクション毎にかけるのがMVCっぽいんだね(今回は違うけど)。リソースに対するアクションに権限があるかどうかの方が、コントローラに権限があるかどうかよりもRESTfulだし。フォルダに制限をかけるっていう発想じゃなくて、誰がどのリソースにどんな権限があるかってことだもんね。 結局ActionFilterAttributeで制限かけるのが王道になるのかな~。

2008年3月20日木曜日

ASP.NET MVCでアクセス制限をかける

Webアプリケーションには必ず必要だよね、認証(Authentication)と承認(Authorization)。 はてさてMVC形式でフォルダが割り振られ、物理フォルダの階層とルーティング機能でアクセスするURLのマッピングが一致してないASP.NET MVCではどのようにアクセス制限をかけましょうか。悩ましいですたい。

とりあえずスコットさんとこで確認したところMembershipやらRoleやらは今まで通り使えるってことなので、その辺aspnet_regsqlコマンドとか使って事前に準備を済ませ、ユーザー登録部分も普通にCreateUserWizardコントロールで作成、ログインはLoginコントロールを使って作成。 ただし、この場合runat="server"属性のformが必要になるので、美しさは少し欠ける。綺麗にするならHtml.Formヘルパー使って form要素を作成し、Viewもちゃんと自分でHTML書いてやるのがいいですよね。でも、その方法だと試しに作るには面倒すぎるので、とりあえずでよければ既存コントロールを使って自身にPostbackした後、Response.RedirectでContoroller/Action形式なりの URLに飛ばすことで認証はOKでしょう。

で、今度は承認。 まずはオーソドックスにViewsフォルダの中のController別フォルダにweb.configを入れてみた。 が、しかし上手くいかず。Authorizeするタイミングがこのタイミングだと遅いんだろうか。 ※本家Scottさんとこのコメント欄でそれらしいこと書いてた(ルーティングはOnPostMapRequestRequestHandler eventの後ですよって)。 で、ってことで、ルートのWeb.Configにlocation入れてみた。そしたら、これはすんなりできた。ロールに合わせてコントローラを分けるように作ればフォルダ単位で制御できるから今までとおなじように扱える。ただし、pathにアクションまで含めても上手くいかなかった。そんな使い方するのかどうか微妙だけど、気になるから調べてみたら、2つの方法で解決できる模様(実質1つか)。 まずは標準の方法でPrincipalPermission属性をアクション(コントローラのメソッド)に指定する方法。 ASP.NET MVC framework - Security もうひとつがSystem.Web.Mvc.ActionFilterAttributeを派生させてカスタム属性を作ってそこで制御する方法(要するにどっちも属性なんだけど)。 Rob Conery » ASP.NET MVC: Securing Your Controller Actions どっちも例外発生するからApplication_Errorで例外をハンドリング。 アクション毎に制限をかけたいっていう需要がどの程度これから出てくるか(個人的にそういう設計にするかどうか)分からないけど、ソースをいじるより web.configいじったほうが気分が楽だから、コントローラ単位の承認(Authorize)がいいんじゃなかろうかと思う次第でやんす。 全然話はかわるんですが↓これがちょっとすごい。 Chris van de Steeg’s blog - What’s practical is logical ASP.NET MVC+jQuery。テンプレートまで用意してる。ViewでJSON返すよ~とか、Ajaxで簡単取得(Htmlヘルパーも拡張してる)とか。

2008年3月13日木曜日

ASP.NET MVCとASP.NET AJAX

ポストバック手法とMVC手法は相互に乗り入れるということを前提に作るものじゃないってことなんだろうか。 ASP.NET MVCでのサンプルを作ってみて、コントローラ/アクションからビューへの展開が今までのポストバック手法(WebForms)に比べて新鮮で面白い。クリーンなHTML(ViewStateとかその他のスクリプト)を出力するし。 型指定のViewDataじゃないと無駄にコードが長くなる(Viewの中で)ので、基本的にはきちんとViewData用のクラスを用意して利用(ViewPage<ViewDataの型>)するべし。

    <tr>
     <th>カテゴリ</th>
     <td><%=Html.Select("CategoryID", ViewData["Categories"] as List<Category>, (ViewData["Product"] as Product).CategoryID)%></td>
   </tr>
   <tr>
     <th>業者</th>
     <td><%=Html.Select("SupplierID", ViewData["Suppliers"] as List<Supplier>, (ViewData["Product"] as Product).SupplierID)%></td>
   </tr>
   <tr>
     <th>単価</th>
     <td><%=Html.TextBox("UnitPrice", (ViewData["Product"] as Product).UnitPrice)%></td>
   </tr>

↑キャスト長すぎ...。

  public class ProductEditViewData
 {
   public Product Product { get; set; }
   public List<Supplier> Suppliers { get; set; }
   public List<Category> Categories { get; set; }
 }

↑これがあれば↓これで済む。

    <tr>
     <th>カテゴリ</th>
     <td><%=Html.Select("CategoryID", ViewData.Categories, ViewData.Product.CategoryID)%></td>
   </tr>
   <tr>
     <th>業者</th>
     <td><%=Html.Select("SupplierID", ViewData.Suppliers, ViewData.Product.SupplierID)%></td>
   </tr>
   <tr>
     <th>単価</th>
     <td><%=Html.TextBox("UnitPrice", ViewData.Product.UnitPrice)%></td>
   </tr> 

※ベタだけどNorthwind使ってスコットさんと同じように作ってみました。 ちなみにこれらのFormの値をコントローラで取得する場合は、UpdateFormを使う模様。

Product product = new Product(); BindingHelperExtensions.UpdateFrom(product, Request.Form, new[] { "ProductName", "CategoryID", "SupplierID", "UnitPrice" });

※ヘルパーとか12月のやつからちょこちょこ変わってる。 Formの値を個別に取得する場合は、コントローラの拡張メソッドになってるReadFromRequestを使う。 Html の要素作成にヘルパー使うなら気にしないけど、手書き(input/radio/textarea/select/hidden)のときはnameに指定したものじゃないとサーバーで値取れません(単なるRequest.Form/QueryStringだから当たり前なんだけど)。 runat="server"じゃないし。 で、もちろんViewStateなんてないのでイロイロこまごましたのは自分でちゃんと実装する必要があり。Pageのインスタンスをサーバーサイドで再構築出来ないんだから。 ここで気になるのがASP.NET AJAXとの絡み。試してみたけどやっぱりすんなりできるものじゃないっす。ASP.NET AJAXのうまみは基本的に全く利用できない感じです。UpdatePanelとかに必要なデータを自分で文字列生成して返すとか考えられない。自身にポストバックする従来の方法なら、いくらでもPage再構築出来るかもしれないけど、コントローラに"post"するんだからサーバーサイドでPageの再構築とか厳しい。 そうなると、普通に自分でAjaxを実装(もちろんライブラリを使うけど)していくことになって、あっちをとればこっちが立たずみたいな。機能的に完全に分離してもよくて、運用サイドが使うような機能なら従来の手法(楽ちんに作れる)、ユーザーサイドが使うならMVC(綺麗に作れる)とかなのかな~?

そもそもASP.NET AJAXを使ってないから、あんまり気にしないんだけど、実際市場ではどういう使い分けをするのかが気になるデス。 そうそう、ASP.NET MVCのパフォーマンスってどうよ?みたいなことも、もちろん気になるわけで。

従来のフローをはしょって書くと↓。 System.Web.HttpRuntime → System.Web.HttpApplication → Pageのインスタンス

MVCだと↓。

System.Web.HttpRuntime → System.Web.HttpApplication → System.Web.Mvc.MvcHandler(ルーティング) → System.Web.Mvc.Controller(ターゲットアクション探す:リフレクション) → System.Web.Mvc.ActionFilterExecutor(アクション起動) → 自分のコントローラ → System.Web.Mvc.WebFormViewEngine(ビューへの橋渡し) → System.Web.Mvc.ViewPage.RenderView(ビュー準備) → Pageのインスタンス → 自分のView

たぶんこうなんじゃないかと...。 なんとなくそうなのかなっていう程度です。 途中"自分のコントローラ"の直前に[ネイティブからマネージの移行][マネージからネイティブへの移行]っていうのが入ってて、これが何してんのかよくわかなかった。 ※ちなみに、IISじゃなくてVS2008から起動するWebServer上で、デバッグ実行時の呼び出し履歴を見ただけなので、かなり推測でしゃべってます。 少なくとも、Page(View)に到達するまでに結構いろいろやってる。でもポストバック元のPageをオンメモリに再構築するっていう手間がないから、結局どっちがいいのか判断難しいところです(CPUリソースかメモリリソースかっていう問題なのかな)。 あとね~、LINQ to SQL。DataContextは結局コントローラのプロパティにして使いまわすのでいいんじゃないかな。いろいろなところで、 HttpContext.Current.Itemsに突っ込んで同一コンテキスト内ではシングルトンな使い方がいいみたいに書いてたけど。

public class DContext { public static T Get() where T : System.Data.Linq.DataContext, new() { // HttpContextが不明なら常にnewして返す if (HttpContext.Current == null) { System.Diagnostics.Debug.WriteLine("no context!"); return new T(); } T context; // ItemのKeyを生成(同一コンテキスト内なら同じキーができるはず) string key = "__WRSCDC_" + HttpContext.Current.GetHashCode().ToString("x") + Thread.CurrentContext.ContextID.ToString(); context = HttpContext.Current.Items[key] as T; if (context == null) { context = new T(); HttpContext.Current.Items[key] = context; System.Diagnostics.Debug.WriteLine("new context!! key:" + key); } return context; } }

※試しに作ったクラス。

パフォーマンスをテストしてみたけど、普通にコントローラでDataContext使うのが早かった。 もちろんコード自体は分離していかないと、ごっちゃごちゃになっちゃうけど、DataContextそのものをPartialで書き足して行かないで、別途機能ドメイン毎にクラスを作って、それぞれの中で個別にDataContextのインスタンスを作るくらいでいいんじゃないかと。 複数のDataContextが1度のリクエストで発生するのが無駄遣いなら、コントローラで作ったDataContextのインスタンスを渡すとか。

なんだかんだ大量のデータ更新を一度にやりたい時とかはストアド使ってやればいいし。ホントはバッチ更新とかできるのかなとも思ったけどそれは無理みたい。

Public Sector Developer Weblog : I was wrong :(

トランザクションが良くわかんなかったけど、分散でまたがないし、複数DataContextを使わないならTransactionScopeいらないっぽい。SubmitChangesが上手いことやってくれるっぽい。

方法 : データ送信をトランザクションで囲む (LINQ to SQL)

ちなみに↑これはts.comlete()を実行してないから動かないと思うんだけど、どうなんでしょう(試した限りではコミットしてくれなかった)? なんだかんだと、まとまりのない文章になっちゃった。 誰かえらい人イロイロ教えて。

2008年3月12日水曜日

Normalization

ASP.NET MVC p2をいじってみてるんだけど、クラスのリファレンスが見当たらないのは気のせいなのかな。RouteValueDictionaryって?IDictionary<string,object>のコンストラクタの使い方が分からなくて足止め。 ASP.NET MVC Normalization - ASP.NET Forums

new Dictionary<string,object> { {"class", "user-login" } } 
↓instead of  
new { @class = "user-login" }  

@classってなんだ!?Verbatim?ダブルクォーテーションなくてもいいのか。結局はリテラルと同じ動きになるね(匿名クラスでclassって名前のメンバを使うからあえて@つけてるのかな~)。 匿名クラスはそのままConsole.WriteLineで書きだすと、inspect的な出力になるのに、class定義して同じようにしてもクラス名しか出力しない。c#でinspectってないのかな。

class cdct { public string key1 { get; set; } public string key2 { get; set; } public string key3 { get; set; } } var dct1 = new { key1 = "value1", key2 = "value2", key3 = "value3" }; var dct2 = new cdct { key1 = "value1", key2 = "value2", key3 = "value3" }; Console.WriteLine(dct1); // => { key1 = value1, key2 = value2, key3 = value3 } Console.WriteLine(dct2); // => ConsoleApplication.cdct

簡単な拡張メソッドでそれっぽくしてみた。

static class ObjectExt { public static string Inspect(this object obj) { return Inspect(obj, false); } public static string Inspect(this object obj, bool withType) { bool first = true; string inspect = ""; Type t = obj.GetType(); foreach (MemberInfo mi in t.GetMembers()) { if (mi.MemberType == MemberTypes.Property) { inspect += (first ? "" : ",") + mi.Name + "=" + t.GetProperty(mi.Name).GetValue(obj, null); first = false; } } return (withType ? t.ToString() : "") + "{" + inspect + "}"; } }

へぼいから取扱注意。

Console.WriteLine(dct1.Inspect()); // => {key1=value1,key2=value2,key3=value3} Console.WriteLine(dct2.Inspect()); // => {key1=value1,key2=value2,key3=value3}

2007年12月13日木曜日

ASP.NETでMVCフレームワーク

まだ製品版ではないけど、リリース目前のVisualStudio 2008と.NET Framework 3.5で使えるASP.NET MVCフレームワーク。

ASP.NET 3.5 Extensions Preview : The Official Microsoft ASP.NET Site

これの日本語訳を読むと鳥肌立つよ。

ScottGuさんの最新の投稿 INDEX

ずいぶん前にどこかで誰かが「MVCで作ろうよ」っていうのを書いてたけど、フレームワークがあってこそだと思ってたから(わざわざすべてをハンドラ書いて処理するのが面倒だなと思うじゃない)、こういうふうに製品になるとかなり作り方が変わるよね。

次期EntLibでDependency Injectionのアプリケーションブロックが入るみたいだし、テストドリブンにもしやすそう。Sprint.NETやSeasar.NETがあるけど、なんとなく...、ねぇ。 .NET開発者のためのDI&AOP入門(前編) - @IT

今のところMVCToolkitも入れとかないと、便利なヘルパー機能は使えないけど、製品版には反映されることを期待。 URLルーティング、コントローラからビューへのViewData渡し、フォームの値をモデルに取り出す便利ヘルパー。LINQも使っていけば、全てが直観的で劇的に開発効率が上がる気がしてワクワクが止まらないっす。 ちなみにVS2008を入れて使ってみてないからよく分かんないんだけど、パート4でformのactionにcreateを指定しただけで、form要素の値がパラメータに渡されるのは要素のIDと変数名で見るから?摩訶不思議。 次にMVCToolkitで使えるHtmlHelperのSelectメソッドにID名とデータソースを渡すだけで、option要素のvalueにIDの値が入って、表示テキストに名前が適用されるのはなんでなんだ?例えばSupplierなんてSupplierIDが主キーだからまだvalue対象になるのはいいけど、テキスト表示にCompanyNameなのかContactNameなのかとか型を見ただけじゃわかんないよね~? ソース一式ダウンロードしてみたけど、Viewにはそんなこと何も書いてないし、一体全体どういうマッピングルールなんだろう。どこ見りゃわかるんだろう。 う~ん、気になる~。 はっ!!そうだ、MVCToolkitのソース見ればいいんじゃんね。 というわけで、ソースダウンロード。 http://asp.net/downloads/3.5-extensions/MVCToolkit.zip で、解凍して、それっぽいのを探すと、MVCToolkit/UIHelper/FormInputExtensionsってフォルダ発見。その中に SelectExtensions.csがあったから見てみたら、textFieldとvalueFieldを指定できるオーバーロードを発見。今回はそれを指定してないんだから、その時どうなってるのかなと思ってみていくと、とりあえずそのへんはお構いなしに、 MvcControlDataBinder.EvalDataSourceを呼び出してデータソースをDataTableに変換してる模様(同ソース90 行目)。

DataTable tbl = MvcControlDataBinder.EvalDataSource(dataSource, textField, valueField);

なわけで、EvalDataSourceを探すと、同フォルダのDataBinder.csに発見。 LINQで取得するエンティティだから多分IQueryable?Arrayってことはないよね...? Arrayなら最初の2つの項目を単にValueとTextってことにして突っ込んでるからテーブル構造を考えたら、それぞれ意味が通るようになるね。

} else if (dataSource is Array) { result.Columns.Add("Value"); result.Columns.Add("Text"); IEnumerable<object> arraySource = dataSource as IEnumerable<object>; en = arraySource.GetEnumerator(); while (en.MoveNext()) { DataRow dr = result.NewRow(); dr[0] = en.Current.ToString(); dr[1] = dr[0]; result.Rows.Add(dr); }

超単純。 IQueryableのときがどうなんだって話だよね~。
                            foreach (PropertyInfo p in props) {
                               dr[p.Name] = p.GetValue(en.Current, null);
                           } 

こうだから全項目をDataRowに突っ込んでるだけだよな~。 おかしいな~、と思ってSelectメソッドに戻ってみたら↓こうだった。

//loop the source foreach (DataRow dr in tbl.Rows) { string selectedFlag = string.Empty; string thisText = dr[1].ToString(); string thisValue=dr[0].ToString(); if (selectedValue != null) { if (HtmlExtensionUtility.AreEqual(selectedValue, dr[0])) selectedFlag = " selected=\"true\" "; } sbOptions.AppendFormat(optionFormat, helper.Encode(thisValue.ToString()), selectedFlag, helper.Encode(thisText)); }

DataRowの最初の項目をValue、2個目の項目をText。そのままかい! でも、なぞが解けてすっきり。 要するにHtml.Selectヘルパーメソッドに要素名とデータソースを渡した場合、エンティティの最初の項目がvalue属性に入って、2個目の項目を表示文字列にしたoption要素が生成されるってことですな。グッジョブ!

dotnetConf2015 Japan

https://github.com/takepara/MvcVpl ↑こちらにいろいろ置いときました。 参加してくださった方々の温かい対応に感謝感謝です。