如何保護MVC5中的HTTPGET方法

我經歷了許多博客文章，描述如何使用[ValidateAntiForgeryToken]屬性驗證我們Web應用程序中的用戶。但是這具有限制，例如只能用於HTTPPOST方法。我的要求是我有一個MVC 5應用程序，它使用HTTPGET方法返回敏感數據（例如：銀行對賬單）。如何從匿名用戶授權/保護這些操作方法？我想寫一個基於令牌的授權機制。如何保護MVC5中的HTTPGET方法

來源

2015-07-12 Rama

您是對的 - ValidateAntiForgeryToken可緩解跨站點請求僞造（CSRF）。它特定於POST，因爲它可以關聯服務器發出的響應，以及從用戶發佈的HTML。 GETs沒有CSRF的概念。

要保護匿名用戶的GETS，請使用[Authorize]屬性的任何方法，您需要用戶登錄到網站。如果他們不是，他們將被重定向到登錄部分，如web.config中配置。

來源

2015-07-12 10:30:15

謝謝多米尼克。我的問題是用戶被分配到具有一組功能的動態角色。角色正在分配用戶。因此，我不能將它標記爲[Authorize（Role =「Adminstrator」）] – Rama

@Ajith：這將要求用戶至少登錄，因此拒絕匿名訪問。 –

如何保護MVC5中的HTTPGET方法

回答

相關問題