如何保护 MVC RESTful URL 免受黑客攻击？

Question

我最近读了一篇关于花旗集团黑客事件的有趣文章 http://www .nytimes.com/2011/06/14/technology/14security.html?_r=2&pagewanted=1&ref=technology

这让我思考，我说我的数据库中有一个包含 100,000 行的敏感员工数据表。该表有一个名为 Id 的主键，它是一个身份列。

员工可以登录到 Web 门户，并通过 RESTful Url ({Controller}/{Action}/{Id}) 检索他的详细信息，例如 /Employee/Details/31

现在，有什么可以阻止我替换 {Id} 参数对于任何参数（例如 Id = 32）并且 正在检索员工 #32 的详细信息？这就是花旗集团的遭遇吗？

你如何防止这种情况发生？即用户已在 Web 门户上经过身份验证 但没有权限查看其他用户的记录？我应该使用其他特定的“令牌”吗 客户除了 ID 之外？

Answer 1

这就是我在完全相同的情况下所做的，首先我声明了对象的扩展：

public static bool Editable(this EXPENSE_OBJ e)
{
    if (e != null)
    {
       UserRepository ur = new UserRepository();

       if (ur.CurrentUser().UserId == e.UserId) //Check if the user owns the claim
       {
           return true; //User owns the claim
       }
       else
       {
           return false; //User does not own the claim
       }

    }
}

然后在控制器中：

public ActionResult Details(id)
{
    var item = repo.GetItem(id);
    if(!item.Editable())
    {
         return View("InvalidURL");
    }

    ...

}

Answer 2

您将需要使用 ASP.NET 角色和成员资格 API。如果您已经这样做了，那么您需要做的就是使用 IsUserInRole 检查来标记控制器。
您可以在此处找到有关角色类的更多信息：

MSDN 角色类

Answer 3

我使用一个多对多表来保存用户和允许他们修改的实体 ID 之间的关系。每当有人尝试更改其中一个实体时，我都会进行检查以确保他们被允许这样做。我还在保存实体的表上放置了一个触发器，每当删除实体时，触发器就会删除该多对多表中的关联记录。这对我来说效果很好。

您可以做的另一件事是使用 Guid 而不是 int 作为主键。这将防止人们猜测主键。