前言:
现在咱们对“htmlaction的url参数”可能比较注重,小伙伴们都需要分析一些“htmlaction的url参数”的相关内容。那么小编同时在网摘上收集了一些关于“htmlaction的url参数””的相关内容,希望各位老铁们能喜欢,咱们快快来学习一下吧!1 验证
一般采用表单验证完成登陆验证,建议结合SSL使用。为限制控制器只能执行HTTPS,使用RequireHttpsAttribute
2 授权
对账户的权限的控制可以通过在控制器或控制器操作上加AuthorizeAttribute 属性。
扩展授权过滤器
扩展授权过滤器可以定义继承自AuthorizeAttribute的类,也可以定义同时继承自FilterAttribute, IAuthorizationFilter接口的类。
扩展AuthorizeAttribute
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)] public class AuthorizeAttribute : FilterAttribute, IAuthorizationFilter { public AuthorizeAttribute(); // 获取或设置有权访问控制器或操作方法的用户角色 public string Roles { get; set; } //获取此特性的唯一标识符。 public override object TypeId { get; } // 获取或设置有权访问控制器或操作方法的用户。 public string Users { get; set; } //重写时,提供一个入口点用于进行自定义授权检查 // 返回结果: // 如果用户已经过授权,则为 true;否则为 false。 // 异常: // System.ArgumentNullException: // httpContext 参数为 null。 protected virtual bool AuthorizeCore(HttpContextBase httpContext); //处理未能授权的 HTTP 请求。 protected virtual void HandleUnauthorizedRequest(AuthorizationContext filterContext); //在过程请求授权时调用。 // 异常: // System.ArgumentNullException: // filterContext 参数为 null。 public virtual void OnAuthorization(AuthorizationContext filterContext); // // 返回结果: // 对验证状态的引用。 // // 异常: // System.ArgumentNullException: // httpContext 参数为 null。 protected virtual HttpValidationStatus OnCacheAuthorization(HttpContextBase httpContext); }
AuthorizeAttribute提供了三个可重新的虚方法AuthorizeCore,HandleUnauthorizedRequest,OnAuthorization,那么在执行授权动作的过程中他们是如何被调用的呢?
看下源码的OnAuthorization方法,发现在这个方法中先调用AuthorizeCore,然后调用HandleUnauthorizedRequest被调用了。
public virtual void OnAuthorization(AuthorizationContext filterContext) { if (filterContext == null) { throw new ArgumentNullException("filterContext"); }//如果子操作的缓存处于活动状态,那么就抛出异常 if (OutputCacheAttribute.IsChildActionCacheActive(filterContext)) { throw new InvalidOperationException(MvcResources.AuthorizeAttribute_CannotUseWithinChildActionCache); }
//判断控制器或控制器操作是否允许匿名访问,如果可以就return
bool skipAuthorization = filterContext.ActionDescriptor.IsDefined(typeof(AllowAnonymousAttribute), inherit: true)|| filterContext.ActionDescriptor.ControllerDescriptor.IsDefined(typeof(AllowAnonymousAttribute), inherit: true); if (skipAuthorization) { return; }//进行权限验证 if (AuthorizeCore(filterContext.HttpContext)) { HttpCachePolicyBase cachePolicy = filterContext.HttpContext.Response.Cache; cachePolicy.SetProxyMaxAge(new TimeSpan(0)); cachePolicy.AddValidationCallback(CacheValidateHandler, null /* data */); } else {//处理未通过权限验证的情形 HandleUnauthorizedRequest(filterContext); } }
综合以上分析,扩展AuthorizeAttribute要注意:
1)在子类AuthorizeCore中,调用父类的AuthorizeCore方法
base.OnAuthorization(filterContext);
2)在子类的AuthorizeCore方法中验证用户的权限。
3)通过子类的构造函数传入用户的权限值
代码示例如下:
public class CustomAuthorizeAttribute : AuthorizeAttribute { private UserRole role; public CustomAuthorizeAttribute(UserRole role) { this.role = role; } protected override bool AuthorizeCore(HttpContextBase httpContext) { bool ret = false; //获得用户信息(从本地Session或分布式缓存中获取) var userInfo = ...... if(userInfo==null) { //信息为null,一般认为登陆超时或没有登陆 } if(userInfo.Role == UserRole.Org) { ret = true; } else { //提示无权限 } return ret; } protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) { if (filterContext == null) { throw new ArgumentNullException("filterContext"); } if (filterContext.HttpContext.Request.IsAjaxRequest()) {//针对ajax请求进行处理 } else {//非aiax进行处理 //跳转到指定页面 string strUrl = ......; filterContext.Result = new RedirectResult(strUrl); } } public override void OnAuthorization(AuthorizationContext filterContext) { base.OnAuthorization(filterContext); } } public enum UserRole { Org = 1, Vip = 2, Guest = 3 }3 安全
总的原则:
所有层或各个子系统各自负责好自己的安全。任何用户数据和来自其他系统的数据都要经过检验。在满足需求的情况下,尽量缩小账户的权限。减少暴露的操作数量和操作参数。关闭服务器不需要的功能。 4 防范攻击4.1跨站脚本攻击(XSS)
被动注入:用户的输入含有恶意脚本,而网站又能够不加检验地接受这样的输入,进而保存到数据库中。
主动注入:用户将含有恶意脚本的内容输入到页面文本框中,然后在屏幕上显示出来。
防御方法:
1)使用Razor语法输出的内容已经被编码,可以不做任何其他处理
例如:
<h4>@Model.Field</h4>
Html.ActionLink,Html.Action等方法会将路由参数编码输出
2)大部分的XSS攻击可通过对输入内容进行编码来阻止:Html.Encode,Html.AttributeEncode,Url.Encode
3)对Js进行编码
使用Ajax.JavaScriptStringEncode
4)将AntiXSS库作为默认的编码器(不建议使用,不灵活)
ASP.NET 4.5 集成Anti-XSS Library,可以通过配置来对整个网站的输出进行编码。
<system.web> <httpRuntime targetFramework="4.5" encoderType="System.Web.Security.AntiXss.AntiXssEncoder,System.Web"/> </system.web>4.2跨站请求伪造(CSRF/XSRF)
防御方法:
1)使用Html隐藏域存储用户令牌,令牌可以存储在Session里或者cookie里
2)在视图表单中使用@Html.AntiForgeryToken(),在控制器操作上添加属性[ValidateAntiForgeryToken],注意表单一定要使用@Html.BeginForm生成
实现机制:AntiForgeryToken方法向用户浏览器cookie中写入一个加密的数据,并在表单内插入一个隐藏栏位,每次刷新页面时隐藏栏位的值都不同,每次执行控制器操作前,都会验证隐藏栏位和浏览器cookie中的值是否相同,只有相同才允许执行控制器操作。
使用限制:
客户端浏览器不能禁用cookie只对post请求有效若有XSS漏洞,则可轻易获取令牌对Ajax请求不能传递令牌,即对Ajax无效
3)使用幂等的Get请求,仅使用Post请求修改数据(仅仅是一定程度上限制这种攻击而已)
4)使用动作过滤器,验证UrlReferrer
扩展的动作过滤器:
public class CSRFFilter:AuthorizeAttribute { public override void OnAuthorization(AuthorizationContext filterContext) { if (filterContext.HttpContext == null) { throw new HttpException("请求无效"); } if (filterContext.HttpContext.Request.UrlReferrer == null) { throw new HttpException("请求无效"); } if (filterContext.HttpContext.Request.UrlReferrer.Host != "sit.com") { throw new HttpException("来自非法网站"); } } }4.3 cookie盗窃
cookie有两种形式
1)会话cookie:存储在浏览器内存中,浏览器每次请求通过Http头进行传递
2)持久性cookie:存储在硬盘上,同样通过Http头进行传递
二者的区别:会话cookie常在会话结束时失效,而持久性cookie在下一次访问站点时仍然有效。
被窃取的原因:依赖于XSS漏洞,注入一段恶意脚本就能窃取。
防御方法:
1)在web.config对cookie进行设置
<httpCookies httpOnlyCookies="true"/>,httpOnlyCookies指定为true表达仅服务器可以访问,浏览器无法访问
2)在编写代码时为每个cookie单独设置
Response.Cookies["cok"].Value = Guid.NewGuid().ToString();
Response.Cookies["cok"].HttpOnly = true;
4.4重复提交
防御方法:
1)使用bind特性,设置想要绑定的属性来,防止这种攻击。也可以设置不要绑定的字属性,但优先选择设置要绑定的属性。
例:
可以指定多个字段,用逗号分隔
public ActionResult TestViewData([Bind(Include = "Field,Field1,Field1")]ModelF mf){ ......}
2)使用UpdateModel或TryUpdateModel
3)使用ViewModel,明确规定View使用的数据模型
4.5开放重定向
防御方法:
使用Url.IsLocalUrl检测是否为本地url
4.6 SQL注入攻击
防御方法:
通过参数注入非法获得或修改网站数据。
使用参数化查询来防止SQL注入攻击。
标签: #htmlaction的url参数