內部HTTP調用是否存在安全風險

Question

如果名爲page.ashx的應用程序稱爲僅內部page.ashx，那麼是否存在安全風險，黑客是否可以斷定調用了另一個頁面？

我不想讓任何人訪問此頁面。它看起來很愚蠢我知道，但它是更復雜問題的一部分。

感謝

Answer 1

默認情況下，一個ASHX處理程序可以訪問剛剛同一個aspx頁面。
目前還不清楚你的意思是「內部」。如果在服務器端進行調用，則可以通過刪除IIS上的權限來隱藏該文件。但是，這可能表明您根本不需要處理程序，並且可能直接調用該函數。 如果客戶端需要訪問它（例如，如果它正在返回腳本或圖像），則無法阻止對其的直接訪問。

Answer 2

「我不想讓任何人訪問此頁面。」
要歸檔，您需要檢查您的用戶是否在此頁面內進行了身份驗證，或者此頁面位於經過身份驗證的用戶的此角色可以看到的目錄中。

重定向可以被讀取 - 所以如果你有一些其他頁面重定向到你說的那個，這是可見的。

然而，服務器傳輸不能被讀取和它的內部，但我不知道這是否可以幫助你的情況。

Answer 3

如果您正在尋找安全指示燈，您可以使用難以猜測的文件或文件夾名稱對URL進行混淆處理，然後像Aristos建議的那樣使用服務器傳輸。

如果您正在尋找愛好者的安全性，然後實施一個Web服務，而不是ashx，需要使用應用程序憑據從調用代碼進行身份驗證（應用程序具有的用戶沒有的東西，以便用戶可以'直接撥打該服務）。