'Thông tin nhạy cảm' nào có thể bị tiết lộ khi đặt JsonRequestBehavior thành AllowGet

Tôi đã gặp cùng một lỗi cũ mỗi khi tôi kiểm tra một lỗi mới URLtừ thanh địa chỉ của trình duyệt khi tôi returning Json(sử dụng cài sẵn MVC JsonResult helper):

Yêu cầu này đã bị chặn vì thông tin nhạy cảm có thể được tiết lộ cho các trang web của bên thứ ba khi thông tin này được sử dụng trong a GET request. Để cho phép GET requests, hãy đặt JsonRequestBehaviorthành AllowGet.

Thay vì cằn nhằn xác nhận và kích hoạt Fiddler để thực hiện yêu cầu đăng bài, lần này, tôi đang tự hỏi chính xác điều gì mà một GETyêu cầu cho thấy một POSTyêu cầu thì không?

Giả sử trang web của bạn có GetUserphương thức web:

http://www.example.com/User/GetUser/32

trả về phản hồi JSON:

{ "Name": "John Doe" }

Nếu phương thức này chỉ chấp nhận các yêu cầu POST, thì nội dung sẽ chỉ được trả về trình duyệt nếu một yêu cầu AJAX được thực hiện http://www.example.com/User/GetUser/32bằng cách sử dụng phương thức POST. Lưu ý rằng trừ khi bạn đã triển khai CORS , trình duyệt sẽ bảo vệ dữ liệu khỏi các miền khác đưa ra yêu cầu này cho bạn.

Tuy nhiên, nếu bạn cho phép yêu cầu GET sau đó cũng như thực hiện yêu cầu AJAX tương tự như trên với GET thay vì POST, người dùng độc hại có thể đưa JSON của bạn vào ngữ cảnh trang web của chính họ bằng cách sử dụng scriptthẻ trong HTML. ví dụ trên www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

JavaScript này sẽ vô dụng www.evil.comvì không có cách nào đọc được đối tượng mà phương thức web của bạn trả về. Tuy nhiên, do các lỗi trong các phiên bản trình duyệt cũ (ví dụ: Firefox 3), các đối tượng nguyên mẫu JavaScript có thể được xác định lại và có thể www.evil.comđọc dữ liệu được trả về bằng phương thức của bạn. Đây được gọi là JSON Hijacking.

Xem bài đăng này để biết một số phương pháp ngăn chặn điều này. Tuy nhiên, nó không phải là một vấn đề đã biết với các phiên bản sau của các trình duyệt hiện đại (Firefox, Chrome, IE).

khi bạn quay lại sử dụng những thứ sau:

return this.Json("you result", JsonRequestBehavior.AllowGet);

Theo mặc định, khung ASP.NET MVC không cho phép bạn phản hồi yêu cầu GET với tải trọng JSON vì có khả năng người dùng độc hại có thể truy cập vào tải trọng thông qua một quá trình được gọi là JSON Hijacking. Bạn không muốn trả lại thông tin nhạy cảm bằng JSON trong yêu cầu GET.

Nếu bạn cần gửi JSON để phản hồi một GET và không để lộ dữ liệu nhạy cảm, bạn có thể cho phép hành vi một cách rõ ràng bằng cách truyền JsonRequestBehavior.AllowGetdưới dạng tham số thứ hai cho Json phương thức.

Nhu la

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Đây là một bài viết thú vị của Phil Haack JSON Hijackingvề lý do tại sao không sử dụng Json với phương thức GET

Khi chúng ta muốn trả lại một đối tượng json cho máy khách từ ứng dụng MVC, chúng ta nên chỉ định rõ ràng JsonRequestBehavior.AllowGet khi trả về một đối tượng. Do đó, tôi trả về dữ liệu json như bên dưới để khắc phục sự cố:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Bạn phải sử dụng JsonRequestBehavior.AllowGet cho Json Response như thế này:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Thành công", JsonRequestBehavior.AllowGet)