ASP.NET Core OData 实践——Lesson1-2查询服务文档、模型Meta和Entity数据(C#)

《Open Data Protocol理论和实践——Lesson1-1搭建服务(C#)》一文中,我们搭建了一个服务。它创建了3个Customer Entity,每个Customer Entity又有2个Order Entity。

        private static Random random = new Random();
        // 生成 3 个客户,每个客户有 2 个订单
        private static readonly List<Customer> customers = [.. Enumerable.Range(1, 3).Select(idx => new Customer
            {
                Id = idx,
                Name = $"Customer {idx}",
                Orders = [.. Enumerable.Range(1, 2).Select(dx => new Order
                    {
                        Id = (idx - 1) * 2 + dx,
                        Amount = random.Next(1, 9) * 10
                    })]
            })];

本文我们将通过Postman查询这些信息。

资源文档

一个 OData 服务会公开两个明确定义的、用于描述其数据模型的资源:服务文档(Service Document)元数据文档(Metadata Document)

服务文档(Service Document)

服务文档(Service Document)是客户端访问 OData 服务时的入口,通常通过 GET /odata/ 获取。它返回当前服务中可用的实体集(Entity Sets)函数(Functions)单例(Singletons),主要用于告诉客户端:

  • 这个 OData 服务有哪些可用的资源(如实体集、单例、函数等)
  • 每个资源的访问路径

这有助于客户端动态发现和导航 OData 服务的数据结构。

主要作用

  1. 资源发现
    告诉客户端有哪些数据集合和操作可以访问。例如,哪些实体集(如 Customers)可以被查询。
  2. 导航入口
    客户端可以根据服务文档中的信息,进一步访问具体的数据资源或元数据文档。
  3. 自描述性
    服务文档让客户端无需事先了解服务结构,就能动态发现和使用服务提供的资源。

访问方式

Request
GET http://localhost:5119/odata
Response
{
    "@odata.context": "http://localhost:5119/odata/$metadata",
    "value": [
        {
            "name": "Customers",
            "kind": "EntitySet",
            "url": "Customers"
        }
    ]
}

这个返回结果包含了两组信息:

  • @odata.context:“http://localhost:5119/odata/$metadata”
    指向当前 OData 服务的元数据文档(metadata),描述了所有实体类型(Entity Type)实体集(Entity Set)关系(Relationship)等详细结构。客户端可以通过访问这个 URL 获取完整的服务模型定义。

  • value 数组中的对象

    • name:“Customers”
      资源的名称,这里是实体集 Customers,对应模型和控制器。
    • kind:“EntitySet”
      资源类型,这里表示这是一个实体集(EntitySet),即一组 Customer 实体。
    • url:“Customers”
      访问该资源的相对路径。完整路径为 http://localhost:5119/odata/Customers,可以通过这个地址获取所有客户数据。

元数据文档(Metadata Document)

元数据文档(Metadata Document)通常通过访问 /odata/$metadata 获取,是一个用 XML 格式描述的文档。它的主要作用是详细描述 OData 服务的数据结构和能力,包括:

  • 所有实体类型(如 Customer、Order)及其属性
  • 实体之间的关系(如导航属性(Navigation Properties))
  • 实体集(如 Customers)
  • 复杂类型、枚举类型、操作(Function/Action)等

主要用途

  1. 自描述性
    让客户端(如前端应用、第三方系统、自动化工具)能够自动了解服务的数据模型和结构,无需人工文档。
  2. 代码生成
    很多开发工具(如 Visual Studio、Postman、OData Client)可以根据元数据文档自动生成客户端代码或数据访问层。
  3. 动态查询和验证
    客户端可以根据元数据文档动态构建查询、校验字段和类型,提升兼容性和灵活性。

访问方式

Request
GET http://localhost:5119/odata/$metadata
Response
<?xml version="1.0" encoding="utf-8"?>
<edmx:Edmx Version="4.0" xmlns:edmx="http://docs.oasis-open.org/odata/ns/edmx">
    <edmx:DataServices>
        <Schema Namespace="Lesson1.Models" xmlns="http://docs.oasis-open.org/odata/ns/edm">
            <EntityType Name="Order">
                <Key>
                    <PropertyRef Name="Id" />
                </Key>
                <Property Name="Id" Type="Edm.Int32" Nullable="false" />
                <Property Name="Amount" Type="Edm.Decimal" Nullable="false" Scale="variable" />
            </EntityType>
            <EntityType Name="Customer">
                <Key>
                    <PropertyRef Name="Id" />
                </Key>
                <Property Name="Id" Type="Edm.Int32" Nullable="false" />
                <Property Name="Name" Type="Edm.String" Nullable="false" />
                <NavigationProperty Name="Orders" Type="Collection(Lesson1.Models.Order)" />
            </EntityType>
        </Schema>
        <Schema Namespace="Default" xmlns="http://docs.oasis-open.org/odata/ns/edm">
            <EntityContainer Name="Container">
                <EntitySet Name="Customers" EntityType="Lesson1.Models.Customer" />
            </EntityContainer>
        </Schema>
    </edmx:DataServices>
</edmx:Edmx>

可以看到上述返回结果中有两个Namespace。

  • Namespace="Lesson1.Models"下展示了该命名空间下的模型定义。
  • Namespace="Default"是 OData 默认生成。EntityContainer 被放在 Default 命名空间下是OData生成器的默认行为,表示“服务的根容器”属于 Default 命名空间。

EntityContainer(实体容器)是 OData 和 EDM(实体数据模型)中的一个核心概念,用于组织和管理服务中所有可访问的实体集(EntitySet)单例(Singleton)操作(Action/Function)等资源的集合。它起到如下作用:
• 资源入口:EntityContainer 是 OData 服务的“资源目录”,定义了客户端可以直接访问的所有数据集合和操作。
• 实体集注册:在例子中,EntitySet Name=“Customers” 表示有一个名为 Customers 的实体集,类型为 Lesson1.Models.Customer,客户端可以通过 /odata/Customers 访问它。
• 唯一性:每个 OData 服务通常只有一个 EntityContainer,它是服务的根级容器。

Entity数据

通过元数据文档(Metadata Document)的查询,我们知道了该服务可以查询Customers的数据,并且得知Customers的属性列表和特性(Orders是导航属性(Navigation Properties))。

查询所有数据

  • Request
GET http://localhost:5119/odata/Customers
  • Response
{
    "@odata.context": "http://localhost:5119/odata/$metadata#Customers",
    "value": [
        {
            "Id": 1,
            "Name": "Customer 1"
        },
        {
            "Id": 2,
            "Name": "Customer 2"
        },
        {
            "Id": 3,
            "Name": "Customer 3"
        }
    ]
}

可以发现,默认情况下导航属性(Navigation Properties)(Orders)没有返回。

排序

通过使用 $orderby 查询选项,可以为返回的结果指定自定义排序顺序 —— 既可以使用asc表示升序,也可以使用desc表示降序。$orderby查询选项接受以逗号分隔的排序列表以及对应的排序顺序。若未指定排序顺序,则默认采用升序。

  • Request
http://localhost:5119/odata/Customers?$orderby=Id desc
  • Response
{
    "@odata.context": "http://localhost:5119/odata/$metadata#Customers",
    "value": [
        {
            "Id": 3,
            "Name": "Customer 3"
        },
        {
            "Id": 2,
            "Name": "Customer 2"
        },
        {
            "Id": 1,
            "Name": "Customer 1"
        }
    ]
}

筛选

可以通过使用$filter查询选项指定查询的表达式。

  • Request
GET http://localhost:5119/odata/Customers?$filter=Id eq 1 or Id eq 3
  • Response
{
    "@odata.context": "http://localhost:5119/odata/$metadata#Customers",
    "value": [
        {
            "Id": 1,
            "Name": "Customer 1"
        },
        {
            "Id": 3,
            "Name": "Customer 3"
        }
    ]
}

指定字段

通过使用$select查询选项指定返回的属性(逗号(,)分隔多个属性)。

  • Request
GET http://localhost:5119/odata/Customers?$select=Name
  • Response
{
    "@odata.context": "http://localhost:5119/odata/$metadata#Customers(Name)",
    "value": [
        {
            "Name": "Customer 1"
        },
        {
            "Name": "Customer 2"
        },
        {
            "Name": "Customer 3"
        }
    ]
}

查询单个数据

  • Request
GET http://localhost:5119/odata/Customers(1)
  • Response
{
    "@odata.context": "http://localhost:5119/odata/$metadata#Customers/$entity",
    "Id": 1,
    "Name": "Customer 1"
}

展开导航属性(Navigation Properties)

通过使用$expand查询选项指定需要展开的导航属性(Navigation Properties)(逗号(,)分隔多个属性)。

  • Request
GET http://localhost:5119/odata/Customers(1)?$expand=Orders
  • Response
{
    "@odata.context": "http://localhost:5119/odata/$metadata#Customers(Orders())/$entity",
    "Id": 1,
    "Name": "Customer 1",
    "Orders": [
        {
            "Id": 1,
            "Amount": 80
        },
        {
            "Id": 2,
            "Amount": 60
        }
    ]
}

分页

$top系统查询选项用于请求将被查询集合中的一定数量的项目包含在结果中。
$skip系统查询选项用于请求跳过被查询集合中的一定数量的项目,且这些项目不包含在结果中。
客户端可以通过结合使用$top$skip来请求特定页码的项目。

  • Request
GET http://localhost:5119/odata/Customers?$top=1&skip=1
  • Response
{
    "@odata.context": "http://localhost:5119/odata/$metadata#Customers",
    "value": [
        {
            "Id": 2,
            "Name": "Customer 2"
        }
    ]
}

参考资料

### Nginx 文件名逻辑漏洞(CVE-2013-4547) #### 漏洞概述 Nginx 文件名逻辑漏洞(CVE-2013-4547)允许攻击者通过精心构造的 URL 请求来绕过访问控制并读取或执行受限资源。此漏洞的根本原因在于 Nginx 错误地解析了带有特定编码字符的 URL,从而导致文件路径处理不当[^1]。 #### 影响范围 该漏洞影响多个版本的 Nginx,在某些配置下可能导致未经授权的文件访问甚至远程代码执行。具体受影响的版本包括但不限于: - Nginx 1.4.x 版本系列 - Nginx 1.5.x 版本系列 (部分) 当 Web 应用程序部署于上述版本之上时,可能存在潜在风险[^3]。 #### 复现过程 为了验证这一漏洞的存在,可以通过上传一个看似无害但实际上包含恶意 PHP 代码的图片文件 `phpinfo.jpg` 来测试。一旦成功上传,攻击者能够修改 HTTP 请求中的参数使服务器错误解释文件扩展名,进而触发命令注入行为[^4]。 ```bash curl -X POST http://example.com/upload.php \ -F "file=@/path/to/phpinfo.jpg" ``` 随后发送如下请求可尝试利用漏洞: ```http GET /uploads/phpinfo.jpg%00.php?cmd=id HTTP/1.1 Host: example.com ``` 如果存在漏洞,则返回的结果会显示当前用户的 ID 信息。 #### 安全修复措施 针对 CVE-2013-4547 的防护手段主要包括以下几个方面: - **升级至最新稳定版**:官方已发布更新解决此问题,建议立即应用最新的安全补丁以消除隐患[^2]。 - **手动修补源码**:对于无法即时升级的情况,可以从官方网站下载专门为此漏洞准备的安全补丁,并按照指引完成编译安装流程。 - **加强输入校验**:无论何时都应严格过滤用户提交的数据,特别是涉及文件操作的部分,防止非法字符进入内部处理环节。 - **启用 WAF 防护**:Web Application Firewall 能够识别异常模式并阻止可疑流量到达应用程序层面上游位置。 综上所述,及时采取适当行动可以有效降低遭受此类攻击的风险。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

breaksoftware

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值