Яку "конфіденційну інформацію" можна розкрити, встановивши JsonRequestBehavior на AllowGet

Я отримую таку саму стару помилку щоразу, коли тестую нову URLв адресному рядку свого браузера, коли я returning Json(використовуючи вбудований MVC JsonResult helper):

Цей запит було заблоковано, оскільки конфіденційна інформація може бути розкрита стороннім веб-сайтам, коли ця інформація використовується в GET request. Щоб дозволити GET requests, встановіть JsonRequestBehaviorзначення AllowGet.

Замість того, щоб нарікати на підтвердження і звільнити Фіддлера, щоб зробити запит на пошту, цього разу мені цікаво, що це за GETзапит, що POSTзапит не відповідає?

Скажімо, ваш веб-сайт має GetUserвеб-метод:

http://www.example.com/User/GetUser/32

який повертає відповідь JSON:

{ "Name": "John Doe" }

Якщо цей метод приймає лише POST-запити, то вміст буде повернутий у браузер лише у випадку, коли запит AJAX буде http://www.example.com/User/GetUser/32використаний з використанням методу POST. Зауважте, що якщо ви не реалізували CORS , браузер захищатиме дані з інших доменів, роблячи цей запит вашим.

Однак якщо ви дозволили GET-запити, а також зробили запит AJAX, подібний до наведеного вище, з GET замість POST, зловмисник може включити ваш JSON у контекст свого власного сайту, використовуючи scriptтег у HTML. наприклад www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Цей JavaScript повинен бути марним, www.evil.comоскільки не повинно бути способом зчитування об'єкта, поверненого вашим веб-методом. Однак, через помилки в старих версіях браузерів (наприклад, Firefox 3), можливо, об’єкти прототипу JavaScript переробляти і дозволяти www.evil.comчитати ваші дані, повернені вашим методом. Це відомо як Викрадення JSON.

Дивіться у цій публікації деякі методи запобігання цьому. Однак це не відома проблема з пізнішими версіями сучасних браузерів (Firefox, Chrome, IE).

у відповідь використовуйте наступне:

return this.Json("you result", JsonRequestBehavior.AllowGet);

За замовчуванням рамка ASP.NET MVC не дозволяє відповідати на запит GET за допомогою корисного навантаження JSON, оскільки є ймовірність, що зловмисник може отримати доступ до корисного навантаження через процес, відомий як JSON Hijacking. Ви не хочете повертати конфіденційну інформацію за допомогою JSON у GET-запиті.

Якщо вам потрібно надіслати JSON у відповідь на GET, і ви не зазнаєте конфіденційних даних, ви можете явно дозволити поведінку, передавши метод JsonRequestBehavior.AllowGetяк другий параметр Json.

Як от

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Ось цікава стаття від Phil Haack JSON Hijackingпро те, чому б не використовувати Json методом GET

Коли ми хочемо повернути об’єкт json клієнту з програми MVC, ми повинні чітко вказати JsonRequestBehavior.AllowGet при поверненні об'єкта. Як результат, я повертаю дані json як нижче, щоб подолати проблему:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Ви повинні використовувати JsonRequestBehavior.AllowGet для відповіді Json таким чином:

return Json(YourObject, JsonRequestBehavior.AllowGet);

повернути Json ("Успіх", JsonRequestBehavior.AllowGet)