Jakie „poufne informacje” mogą zostać ujawnione podczas ustawiania JsonRequestBehavior na AllowGet

Za każdym razem, gdy testuję nowy URLz paska adresu przeglądarki, otrzymuję ten sam stary błąd returning Json(używam wbudowanego MVC JsonResult helper):

To żądanie zostało zablokowane, ponieważ poufne informacje mogą zostać ujawnione witrynom internetowym osób trzecich, gdy jest to używane w GET request. Aby zezwolić GET requests, ustaw JsonRequestBehaviorna AllowGet.

Zamiast chrząkać w potwierdzeniu i odpalić Fiddlera, aby wykonać prośbę o wpis, tym razem zastanawiam się, co dokładnie oznacza, że GETżądanie ujawnia, a POSTnie żądanie?

Załóżmy, że Twoja witryna ma GetUsermetodę internetową:

http://www.example.com/User/GetUser/32

która zwraca odpowiedź JSON:

{ "Name": "John Doe" }

Jeśli ta metoda akceptuje tylko żądania POST, zawartość zostanie zwrócona do przeglądarki tylko wtedy, gdy żądanie AJAX zostanie wysłane http://www.example.com/User/GetUser/32przy użyciu metody POST. Pamiętaj, że jeśli nie zaimplementowałeś CORS , przeglądarka będzie chronić dane z innych domen wysyłających to żądanie do Ciebie.

Jeśli jednak zezwolisz na żądania GET, a także wykonanie żądania AJAX podobnego do powyższego za pomocą GET zamiast POST, złośliwy użytkownik może dołączyć twój scriptkod JSON w kontekście własnej witryny, używając tagu w kodzie HTML. np. na www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Ten JavaScript powinien być bezużyteczny, www.evil.componieważ nie powinno być możliwości odczytania obiektu zwróconego przez twoją metodę sieciową. Jednak ze względu na błędy występujące w starszych wersjach przeglądarek (np. Firefox 3) istnieje możliwość przedefiniowania obiektów prototypowych JavaScript i umożliwienia www.evil.comodczytu danych zwróconych przez Twoją metodę. Jest to znane jako przechwytywanie JSON.

Zobacz ten post, aby zapoznać się z metodami zapobiegania temu. Nie jest to jednak znany problem z późniejszymi wersjami nowoczesnych przeglądarek (Firefox, Chrome, IE).

w zwrocie użyj:

return this.Json("you result", JsonRequestBehavior.AllowGet);

Domyślnie struktura ASP.NET MVC nie pozwala odpowiadać na żądanie GET z ładunkiem JSON, ponieważ istnieje szansa, że ​​złośliwy użytkownik może uzyskać dostęp do ładunku za pośrednictwem procesu znanego jako przejęcie JSON. Nie chcesz zwracać poufnych informacji przy użyciu formatu JSON w żądaniu GET.

Jeśli musisz wysłać JSON w odpowiedzi na GET i nie ujawniasz poufnych danych, możesz jawnie zezwolić na zachowanie, przekazując JsonRequestBehavior.AllowGetjako drugi parametr do Json metody.

Jak na przykład

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Oto interesujący artykuł Phila Haacka JSON Hijackingo tym, dlaczego nie używać Json z metodą GET

Kiedy chcemy zwrócić obiekt json do klienta z aplikacji MVC, powinniśmy jawnie określić JsonRequestBehavior.AllowGet podczas zwracania obiektu. W rezultacie zwracam dane json jak poniżej, aby rozwiązać problem:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Musisz używać JsonRequestBehavior.AllowGet dla odpowiedzi Json w następujący sposób:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Sukces", JsonRequestBehavior.AllowGet)