如何保护对返回 JSON 的 MVC 操作的访问

发布于 2024-10-27 05:53:33 字数 262 浏览 6 评论 0原文

我有一个使用 ASP.NET MVC 3 开发的面向公众的网站。MVC 应用程序包含带有返回 JSON 的操作的控制器。网页针对返回 JSON 的操作执行 AJAX 请求。

尽管通过 JSON 操作发布的数据并不敏感，但它是专有的，而且我担心任何人都可以通过跨域调用或自定义应用程序来调用返回 JSON 的操作。有没有办法只允许我的 MVC 应用程序网页访问返回 JSON 的操作？ ODATA 是否为解决此问题提供了任何好处？

有谁知道将此问题描述为责任的资源以及如何解决它？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

一杆小烟枪 2024-11-03 05:53:33

如果您的应用程序是公开的，那么它会更加棘手。 ValidateAntiForgeryToken 属性可以帮助抵御 XSS 和随机请求。

如果您有受密码保护的站点，请使用Authorize 属性。

OData 与 MVC 站点存在同样的问题。

回复收藏 0 原文

所有深爱都是秘密 2024-11-03 05:53:33

如果您使用角色，您可以使用授权属性限制访问。

回复收藏 0 原文

静谧幽蓝 2024-11-03 05:53:33

我有类似的设置，但在我的设备中，iOS 设备必须与以 JSON 响应的页面进行通信。我最终创建了一个 ActionFilterAttribute 来验证设备是否 1) 通过其 UDId 添加到允许的设备列表中，以及 2) 分配给该设备的用户是否处于活动状态（当前正在使用）。问题是这迫使我发出 POST 请求，这对我来说确实不是问题，但对你来说可能是问题，因为你可能允许 GET 请求。我也可能是错的，我认为模型绑定器仍然会解析 GET 请求中的对象，并且过滤器可能仍然会工作。

无论如何，这是我的过滤器的代码，您认为合适的修改器：

[AttributeUsage(AttributeTargets.Method, AllowMultiple = false, Inherited = true)]
internal sealed class VerifyDeviceAttribute : ActionFilterAttribute {
    [Inject]
    public DeviceProvider DeviceProvider { private get; set; }

    public override void OnActionExecuting(
        ActionExecutingContext ActionExecutingContext) {
        string UDId = ActionExecutingContext.HttpContext.Request.Form["Authorization.UDId"];

        if (this.DeviceProvider.Exists(UDId) && !this.DeviceProvider.Get(UDId).User.Active) {
            ActionExecutingContext.Controller.ViewData.ModelState.AddModelError("User", "The user is not active");
        } else if (!this.DeviceProvider.Exists(UDId)) {
            ActionExecutingContext.Controller.ViewData.ModelState.AddModelError("UDId", "The UDId is empty");
        };
    }
}

您可能会注意到我将错误推送到控制器 ModelState 中（如果有的话），并且在操作结果中我总是在格式化响应之前检查模型状态，因此请确保始终检查您的 ModelState！

I have a similar setup, but in mine iOS devices have to communicate with the pages that respond in JSON. I ended up creating an ActionFilterAttribute that verifies that the device is 1) added to the list of allowed devices by its UDId and 2) that the user assigned to the device is active (currently employed). The problem is that this forces me into POST requests, which to me it really isn't a problem, but to you it may be since you may be allowing GET requests. I also could be wrong, I think the model binder will still parse the objects from a GET request and the filter will probably still work.

Anyway, here's the code to my filter as it is, modifier as you see fit:

[AttributeUsage(AttributeTargets.Method, AllowMultiple = false, Inherited = true)]
internal sealed class VerifyDeviceAttribute : ActionFilterAttribute {
    [Inject]
    public DeviceProvider DeviceProvider { private get; set; }

    public override void OnActionExecuting(
        ActionExecutingContext ActionExecutingContext) {
        string UDId = ActionExecutingContext.HttpContext.Request.Form["Authorization.UDId"];

        if (this.DeviceProvider.Exists(UDId) && !this.DeviceProvider.Get(UDId).User.Active) {
            ActionExecutingContext.Controller.ViewData.ModelState.AddModelError("User", "The user is not active");
        } else if (!this.DeviceProvider.Exists(UDId)) {
            ActionExecutingContext.Controller.ViewData.ModelState.AddModelError("UDId", "The UDId is empty");
        };
    }
}

You may notice that I'm pushing errors into the controller ModelState, if there's any, and in the action results I always check the model state before formatting the response, so make sure you're always checking your ModelState!

回复收藏 0 原文