JsonRequestBehavior'ı AllowGet olarak ayarlarken hangi 'hassas bilgiler' ifşa edilebilir?

URLTarayıcımın adres çubuğundan bir yenisini her test ettiğimde aynı eski hatayı alıyorum returning Json(yerleşikMVC JsonResult helper ) :

Bu istek engellendi çünkü hassas bilgiler, bir GET request. İzin vermek için GET requests, set JsonRequestBehavioriçinAllowGet .

Alındığında homurdanmak ve Fiddler'ı bir gönderi isteği yapmak için ateşlemek yerine, bu sefer, bir GETisteğin tam olarak ne olduğunu merak ediyorum, bir isteğin göstermediğini açığa çıkarır POSTmı?

Web sitenizin bir GetUserweb yöntemi olduğunu varsayalım:

http://www.example.com/User/GetUser/32

bir JSON yanıtı döndürür:

{ "Name": "John Doe" }

Bu yöntem yalnızca POST isteklerini kabul ederse, içerik yalnızca http://www.example.com/User/GetUser/32POST yöntemi kullanılarak bir AJAX isteği yapılırsa tarayıcıya döndürülür . CORS uygulamadıysanız , tarayıcının verileri sizinkine bu isteği yapan diğer etki alanlarından koruyacağını unutmayın.

Bununla birlikte, GET isteklerine izin verdiyseniz ve POST yerine GET ile yukarıdakine benzer bir AJAX isteğinde bulunduysanız, kötü niyetli bir kullanıcı scriptHTML'de bir etiket kullanarak JSON'nuzu kendi sitelerinin bağlamına dahil edebilir . örneğin www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Bu JavaScript www.evil.com, web yönteminizin döndürdüğü nesneyi okumanın bir yolu olmaması gerektiğinden işe yaramaz olmalıdır. Ancak, tarayıcıların eski sürümlerindeki hatalar nedeniyle (örn. Firefox 3), JavaScript prototip nesnelerinin yeniden tanımlanması ve www.evil.comyönteminizin döndürdüğü verilerinizin okunmasını mümkün kılması mümkündür . Bu, JSON Hijacking olarak bilinir.

Bunu önlemenin bazı yöntemleri için bu gönderiye bakın . Ancak, modern tarayıcıların (Firefox, Chrome, IE) sonraki sürümlerinde bilinen bir sorun değildir.

dönüşünüzde aşağıdakileri kullanın:

return this.Json("you result", JsonRequestBehavior.AllowGet);

Varsayılan olarak, ASP.NET MVC çerçevesi, kötü niyetli bir kullanıcının JSON Hijacking olarak bilinen bir işlem aracılığıyla yüke erişme şansı olduğundan, bir GET isteğine bir JSON yükü ile yanıt vermenize izin vermez. Bir GET isteğinde JSON kullanarak hassas bilgileri döndürmek istemezsiniz.

Bir GET'e yanıt olarak JSON göndermeniz gerekiyorsa ve hassas verileri ifşa etmiyorsanız, davranışa JsonRequestBehavior.AllowGetikinci bir parametre olarak ileterek açıkça izin verebilirsiniz .Json yönteme .

Gibi

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

İşte Phil Haack'tan Json'u JSON Hijackingneden GET yöntemiyle kullanmama konusunda ilginç bir makale.

MVC uygulamasından istemciye bir json nesnesi döndürmek istediğimizde, bir nesne döndürürken JsonRequestBehavior.AllowGet öğesini açıkça belirtmeliyiz. Sonuç olarak, sorunun üstesinden gelmek için json verilerini aşağıdaki gibi döndürüyorum:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Json Yanıtı için JsonRequestBehavior.AllowGet'i şu şekilde kullanmanız gerekir:

return Json(YourObject, JsonRequestBehavior.AllowGet);

dönüş Json ("Başarı", JsonRequestBehavior.AllowGet)