Web服務的垃圾郵件能力和安全性

Question

我正在構建一個ASP.NET Web應用程序，該應用程序具有許多用於公共用戶註冊並輸入數據以保存到數據庫中的窗體。我一直想深入研究真正的AJAX，所以我將許多事務寫成RESTful WCF Web服務。諸如新用戶註冊，用戶登錄和簡單表單提交等事務都是通過AJAX完成的。

在代碼審查團隊成員反對的基礎上，這種方法是，

「它比全回傳不太安全，因爲.NET有‘安全措施’像ViewState的防止濫用客戶從錘擊服務器。」

• 請問這種說法有可取之處？
• 我通過使用REST風格的Web服務將應用程序暴露給濫用還有多少如果我使用了完整的回傳？

我不一定在尋找.NET，WCF甚至是ViewState的具體迴應，儘管這些迴應肯定會與我的特定情況更相關。我正在尋找答案來解決技術方法本身 - 而不是它們的實現。無需驗證授權即可修改任何用戶帳戶的Web服務顯然是一個糟糕的實現。 「完整回發」頁面可能具有同樣糟糕的實現。因此這個論點既不在這裏也不在那裏。

REST風格的Web服務（或一般的Web服務）有什麼內在的東西讓它們比傳統的.net回傳更不安全？

Answer 1

您的團隊成員不正確。

ViewState有沒有與安全有關。

事實上，RESTful Web服務比ASP.Net頁面更好的性能，因爲它們涉及發送更少的停機線，因爲他們沒有ASPX的開銷（ViewState中）

但是，你這樣做需要防止ASP.Net非AJAX模型緩解的CSRF攻擊。