ทำไมต้อง JsonRequestBehavior?

ทำไมถึงJson Request Behaviorจำเป็น?

หากฉันต้องการ จำกัดHttpGetคำขอให้ดำเนินการของฉันฉันสามารถตกแต่งแอ็คชันด้วย[HttpPost]แอตทริบิวต์

ตัวอย่าง:

[HttpPost]
public JsonResult Foo()
{
    return Json("Secrets");
}

// Instead of:
public JsonResult Foo()
{
    return Json("Secrets", JsonRequestBehavior.AllowGet);
}

ทำไมจึงไม่[HttpPost]เพียงพอ
ทำไมกรอบการทำงานของ "ข้อบกพร่อง" ที่เรามีJsonRequestBehavior.AllowGetสำหรับทุกJsonResultสิ่งที่เรามี หากฉันต้องการที่จะปฏิเสธการขอฉันจะเพิ่มHttpPostคุณสมบัติ

MVC เป็นค่าเริ่มต้นเพื่อDenyGetปกป้องคุณจากการโจมตีที่เฉพาะเจาะจงมากซึ่งเกี่ยวข้องกับคำร้องขอ JSON เพื่อปรับปรุงความเป็นไปได้ที่ผลกระทบของการอนุญาตให้HTTP GETเปิดเผยจะถูกพิจารณาล่วงหน้าเพื่อให้พวกเขาเกิดขึ้น

สิ่งนี้ตรงกันข้ามกับหลังจากนั้นเมื่อมันอาจจะสายเกินไป

หมายเหตุ: หากวิธีการกระทำของคุณไม่ส่งคืนข้อมูลที่ละเอียดอ่อนควรปลอดภัยเพื่อให้ได้รับ

อ่านเพิ่มเติมจากหนังสือ Wrox ASP.NET MVC3 ของฉัน

ตามค่าเริ่มต้นกรอบงาน ASP.NET MVC ไม่อนุญาตให้คุณตอบกลับคำขอ HTTP GET พร้อมเพย์โหลด JSON หากคุณต้องการส่ง JSON เพื่อตอบสนองต่อ GET คุณจะต้องอนุญาตพฤติกรรมอย่างชัดเจนโดยใช้ JsonRequestBehavior.AllowGet เป็นพารามิเตอร์ตัวที่สองของวิธีการ Json อย่างไรก็ตามมีโอกาสที่ผู้ใช้ที่เป็นอันตรายสามารถเข้าถึง JSON payload ได้ผ่านกระบวนการที่เรียกว่า JSON Hijacking คุณไม่ต้องการส่งคืนข้อมูลที่ละเอียดอ่อนโดยใช้ JSON ในคำขอ GET สำหรับรายละเอียดเพิ่มเติมโปรดดูโพสต์ของ Phil ที่ http://haacked.com/archive/2009/06/24/json-hijacking.aspx/หรือโพสต์ SO นี้

Haack, Phil (2011) Professional ASP.NET MVC 3 (โปรแกรมเมอร์ Wrox ถึงโปรแกรมเมอร์) (ที่ตั้งจุด 6014-6020) Wrox จุด Edition.

คำถาม StackOverflow ที่เกี่ยวข้อง

ด้วยเบราว์เซอร์ที่ระลึกล่าสุด (เริ่มต้นด้วย Firefox 21, Chrome 27 หรือ IE 10) นี่ไม่ใช่ช่องโหว่อีกต่อไป

เพื่อให้ง่ายขึ้นสำหรับตัวคุณเองคุณสามารถสร้าง actionfilterattribute

public class AllowJsonGetAttribute : ActionFilterAttribute
{
    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;

        if (jsonResult == null)
            throw new ArgumentException("Action does not return a JsonResult, 
                                                   attribute AllowJsonGet is not allowed");

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;            

        base.OnResultExecuting(filterContext);
    }
}

และใช้กับการกระทำของคุณ

[AllowJsonGet]
public JsonResult MyAjaxAction()
{
    return Json("this is my test");
}

ตามค่าเริ่มต้น Jsonresult "ปฏิเสธรับ"

สมมติว่าเรามีวิธีการดังต่อไปนี้

  [HttpPost]
 public JsonResult amc(){}

โดยค่าเริ่มต้นคือ "ปฏิเสธรับ"

ในวิธีการด้านล่าง

public JsonResult amc(){}

เมื่อคุณต้องการอนุญาตหรือรับใช้เราต้องใช้ JsonRequestBehavior.AllowGet

public JsonResult amc()
{
 return Json(new Modle.JsonResponseData { Status = flag, Message = msg, Html = html }, JsonRequestBehavior.AllowGet);
}

การปรับปรุงตามคำตอบของ @Arjen de Mooij เพียงเล็กน้อยโดยการอนุญาตให้ AllowJsonGetAttribute ที่ใช้กับ mvc-controllers (ไม่ใช่แค่วิธีการกระทำเฉพาะ):

using System.Web.Mvc;
public sealed class AllowJsonGetAttribute : ActionFilterAttribute, IActionFilter
{
    void IActionFilter.OnActionExecuted(ActionExecutedContext context)
    {
        var jsonResult = context.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
    }

    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
        base.OnResultExecuting(filterContext);
    }
}

คุณไม่ต้องการมัน

หากการกระทำของคุณมีHttpPostคุณสมบัติคุณไม่จำเป็นต้องกังวลเกี่ยวกับการตั้งค่าJsonRequestBehaviorและใช้งานเกินพิกัดหากไม่มีการกระทำดังกล่าว มีการโอเวอร์โหลดสำหรับแต่ละวิธีโดยไม่มีJsonRequestBehavior enum ที่นี่พวกเขาคือ:

ไม่มี JsonRequestBehavior

protected internal JsonResult Json(object data);
protected internal JsonResult Json(object data, string contentType);
protected internal virtual JsonResult Json(object data, string contentType, Encoding contentEncoding);

ด้วย JsonRequestBehavior

protected internal JsonResult Json(object data, JsonRequestBehavior behavior);
protected internal JsonResult Json(object data, string contentType, 
                                   JsonRequestBehavior behavior);
protected internal virtual JsonResult Json(object data, string contentType, 
    Encoding contentEncoding, JsonRequestBehavior behavior);