ASP.NET MVC中JSON结果的安全请求

简短回答:否

长话短说:了解请求合法性的唯一方法是解释请求随附的内容。HTTP协议没有魔力。也许,最可靠的方法是检查推荐人并确保它是你的网站。但这张支票不难骗。

我还没有尝试过这个,但是我一直在思考如何才能实现这个目标。我目前的想法是向操作添加一个自定义属性,该属性检查请求应用程序附加到CAL的令牌。

令牌将由调用应用程序根据应用程序使用API时提供给请求者的种子密钥生成。自定义属性将在运行允许或拒绝调用的操作之前对密钥进行身份验证。

正如我所说,还没有完全形成,但正在沿着这些思路思考……祝你好运,如果你有什么发现的话,一定要发回。

对于其他站点:

• 你可以查一下推荐人,但那是伪造的。
• 您可以检查是否与用户进行了活动会话。

对于地址栏:

• 你真的无能为力。

其他网站不能使用Ajax对您的操作发出请求,因为HTTP不允许这样做,但它仍然可以从地址栏、其他程序或任何东西中被调用。

如果不允许仅从网站的特定部分调用操作,则可以使用HTML帮助器AntiforgeryToken和属性[validateNatiforgeryToken],您可以在此处查看有关此操作的教程: http://haacked.com/archive/2009/04/02/anatomy-of-csrf-attack.aspx . 这几乎是阿巴尔发布的想法。