用于加密查询字符串的 HttpModule

Question

我发现这个很棒的小 HttpModule 可以加密和解密所有查询字符串。可以在这里找到： 用于查询字符串加密的 HttpModule

有这是一个重大缺陷，我真的可以使用一些关于如何解决的意见。在页面回发时，将跳过 HttpMethod POST，并显示已解密的 QueryString。显然这是一个重大的安全风险。

void context_BeginRequest(object sender, EventArgs e)
{
    try
    {
        HttpContext context = HttpContext.Current;
        if (context.Request.Url.OriginalString.Contains("aspx") && context.Request.RawUrl.Contains("?"))
        {
            string query = ExtractQuery(context.Request.RawUrl);
            string path = GetVirtualPath();

            if (query.StartsWith(PARAMETER_NAME, StringComparison.OrdinalIgnoreCase))
            {
                // Decrypts the query string and rewrites the path.
                string rawQuery = query.Replace(PARAMETER_NAME, string.Empty);
                string decryptedQuery = Decrypt(rawQuery);
                context.RewritePath(path, string.Empty, decryptedQuery);
            }
            else if (context.Request.HttpMethod == "GET")
            {
                // Encrypt the query string and redirects to the encrypted URL.
                // Remove if you don't want all query strings to be encrypted automatically.
                string encryptedQuery = Encrypt(query);
                context.Response.Redirect(path + encryptedQuery);
            }
        }
    }
    catch (ThreadAbortException)
    {
        //do nothing. let it pass
    }
    catch (Exception exc)
    {
        ReportError(exc);
    }
}

我尝试为 POST 方法添加一个 if catch ：

            else if (context.Request.HttpMethod == "POST")
            {
                if (!query.StartsWith(PARAMETER_NAME, StringComparison.OrdinalIgnoreCase))
                {
                    string encryptedQuery = Encrypt(query);
                    context.Response.Redirect(path + encryptedQuery);
                }
            }

但是，由于 Response.Redirect，这会重新加载页面，因此 PostBack 是无用的。

有谁有任何想法或知道是否有办法确定 HttpContext 是否是 PostBack？

Answer 1

在查询字符串中发送敏感数据不是一个好主意。如果必须，那么最好在构建查询字符串之前对数据进行加密，而不是加密整个查询字符串。此外，您的网站不应因用户更改查询字符串而受到损害。 URI 将用户带到他想去的地方，因此通过更改查询字符串 (URI) 进行导航是网络标准。网络应该是 RestFul 的。