'ข้อมูลที่ละเอียดอ่อน' สามารถเปิดเผยอะไรได้บ้างเมื่อตั้งค่า JsonRequestBehavior เป็น AllowGet

ฉันได้รับข้อผิดพลาดเดิมทุกครั้งที่ฉันทดสอบใหม่URLจากแถบที่อยู่ของเบราว์เซอร์เมื่อฉันreturning Json(ใช้งานในตัวMVC JsonResult helper):

คำขอนี้ถูกบล็อกเนื่องจากอาจมีการเปิดเผยข้อมูลที่ละเอียดอ่อนไปยังเว็บไซต์ของบุคคลที่สามเมื่อใช้สิ่งนี้ในไฟล์GET request. ในการอนุญาตให้GET requestsชุดที่จะJsonRequestBehaviorAllowGet

แทนที่จะฮึดฮัดในการรับทราบและกระตุ้นให้ Fiddler ทำคำขอโพสต์คราวนี้ฉันสงสัยว่าGETคำขอนั้นคืออะไรที่เปิดเผยว่าPOSTคำขอนั้นไม่?

สมมติว่าเว็บไซต์ของคุณมีGetUserวิธีการใช้เว็บ:

http://www.example.com/User/GetUser/32

ซึ่งส่งคืนการตอบสนอง JSON:

{ "Name": "John Doe" }

หากวิธีนี้ยอมรับเฉพาะคำขอ POST เนื้อหาจะถูกส่งกลับไปยังเบราว์เซอร์ก็ต่อเมื่อมีการร้องขอ AJAX http://www.example.com/User/GetUser/32โดยใช้วิธีการ POST โปรดทราบว่าหากคุณไม่ได้ติดตั้งCORSเบราว์เซอร์จะปกป้องข้อมูลจากโดเมนอื่นที่ส่งคำขอนี้ถึงคุณ

อย่างไรก็ตามหากคุณอนุญาตคำขอ GET และสร้างคำขอ AJAX ที่คล้ายกับข้างต้นด้วย GET แทนที่จะเป็น POST ผู้ใช้ที่เป็นอันตรายอาจรวม JSON ของคุณไว้ในบริบทของไซต์ของตนโดยใช้scriptแท็กใน HTML เช่นเมื่อwww.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

JavaScript นี้ไม่ควรใช้www.evil.comเพราะไม่มีวิธีอ่านวัตถุที่ส่งคืนโดยวิธีการเว็บของคุณ อย่างไรก็ตามเนื่องจากข้อบกพร่องในเบราว์เซอร์เวอร์ชันเก่า (เช่น Firefox 3) จึงเป็นไปได้ที่วัตถุต้นแบบ JavaScript จะถูกกำหนดใหม่และทำให้สามารถwww.evil.comอ่านข้อมูลของคุณที่ส่งคืนโดยวิธีการของคุณได้ สิ่งนี้เรียกว่า JSON Hijacking

ดูโพสต์นี้สำหรับวิธีการบางอย่างในการป้องกันปัญหานี้ อย่างไรก็ตามไม่ใช่ปัญหาที่ทราบกันดีกับเบราว์เซอร์สมัยใหม่รุ่นใหม่ ๆ (Firefox, Chrome, IE)

ในการส่งคืนของคุณให้ใช้สิ่งต่อไปนี้:

return this.Json("you result", JsonRequestBehavior.AllowGet);

โดยค่าเริ่มต้นเฟรมเวิร์ก ASP.NET MVC ไม่อนุญาตให้คุณตอบสนองต่อคำขอ GET ด้วยเพย์โหลด JSON เนื่องจากมีโอกาสที่ผู้ใช้ที่ประสงค์ร้ายสามารถเข้าถึงเพย์โหลดผ่านกระบวนการที่เรียกว่า JSON Hijacking คุณไม่ต้องการส่งคืนข้อมูลที่ละเอียดอ่อนโดยใช้ JSON ในคำขอ GET

หากคุณต้องการส่ง JSON เพื่อตอบสนองต่อ GET และไม่เปิดเผยข้อมูลที่ละเอียดอ่อนคุณสามารถอนุญาตให้เกิดพฤติกรรมได้อย่างชัดเจนโดยส่งJsonRequestBehavior.AllowGetพารามิเตอร์ที่สองไปยังJson เมธอด

เช่น

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

นี่คือบทความที่น่าสนใจจาก Phil Haack JSON Hijackingเกี่ยวกับสาเหตุที่ไม่ใช้ Json ด้วยวิธี GET

เมื่อเราต้องการส่งคืนวัตถุ json ไปยังไคลเอนต์จากแอปพลิเคชัน MVC เราควรระบุ JsonRequestBehavior.A allowGet อย่างชัดเจนเมื่อส่งคืนวัตถุ เป็นผลให้ฉันส่งคืนข้อมูล json ด้านล่างเพื่อแก้ไขปัญหา:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

คุณต้องใช้ JsonRequestBehavior.A allowGet สำหรับการตอบสนอง Json ดังนี้:

return Json(YourObject, JsonRequestBehavior.AllowGet);

ส่งคืน Json ("ความสำเร็จ", JsonRequestBehavior.A allowGet)