Запретить прямой доступ по URL к обработчику страницы razor

Задайте этот вопрос, как это возможно.

Не уверен, что рекомендую идти по этому пути, поскольку это немного грязное и необязательно сложное решение. Вы можете возвращать разные статусные сообщения для вошедших / вышедших пользователей.

Logout.cshtml.cs

public class LogoutModel : CustomPageModel
{
    private readonly SignInManager _signInManager;

    public LogoutModel(SignInManager signInManager) => _signInManager = signInManager;

    public string StatusMessage { get; set; }

    public async Task<IActionResult> OnGetAsync()
    {
        if (_signInManager.IsSignedIn(User))
        {
            await _signInManager.SignOutAsync();
            StatusMessage = "Successfully logged out!";
            return Page();
        }
        else {
            StatusMessage = "Already logged out!";
            return Page();
        }

    }
}

Logout.cshtml

@page
@model X.LogoutModel

@Model.StatusMessage

Я решил это с помощью Attribute и IPageFilter, который проверяет заголовок Referer.

Сначала я создал атрибут

[AttributeUsage(AttributeTargets.Method)]
public class ChildHandlerAttribute : Attribute
{
}

Затем я украсил им GetOnSuccess() обработчик

[ChildHandler]
public void OnGetSuccess()
{
}

Затем я реализовал фильтр, проверяющий заголовок Referer на предмет дочерних обработчиков.

public class ChildHandlerAsyncPageFilter : IAsyncPageFilter
{
    public async Task OnPageHandlerExecutionAsync(PageHandlerExecutingContext context, PageHandlerExecutionDelegate next)
    {
        var pageHandlerExecutedContext = await next();

        if (pageHandlerExecutedContext.HandlerMethod?.MethodInfo.GetCustomAttribute<ChildHandlerAttribute>() == null)
        {
            return;
        }

        var referrer = context.HttpContext.Request.Headers["Referer"].ToString();
        var request = pageHandlerExecutedContext.HttpContext.Request;

        if (!referrer.StartsWith($"{request.Scheme}://{request.Host}"))
        {
            pageHandlerExecutedContext.Result = new NotFoundResult();
        }
    }

    public Task OnPageHandlerSelectionAsync(PageHandlerSelectedContext context) => Task.CompletedTask;
}

Наконец, я добавил фильтр в конвейер в Startup.cs

services.AddMvc(options =>
{
    options.Filters.Add<ChildHandlerAsyncPageFilter>();
});

В вашем сценарии пользователь выходит и перенаправляется как анонимный пользователь. Так что нельзя сказать, что здесь только определенные пользователи имеют доступ к этому действию.

Вы должны решить это другими способами. например, вы можете установить значение в файле cookie в LogOut Action, а затем проверить Success Action. Для большей безопасности примените шаблон, который MVC использует для CSRF.