当我是returning Json（使用内置的MVC JsonResult helper）时，每次从浏览器的地址栏中测试新的URL 时，我都会遇到同样的错误：
此请求已被阻止，因为在
GET request中使用敏感信息可能会泄露给第三方网站。要允许GET requests，请将JsonRequestBehavior设置为AllowGet。
这一次，我想知道GET 请求暴露了POST 请求没有暴露的究竟是什么？
【问题讨论】：
标签： asp.net-mvc json security http-post http-get
默认情况下，ASP.NET MVC 框架不允许你响应 带有 JSON 有效负载的 GET 请求，因为恶意用户有可能通过称为 JSON 劫持的过程访问有效负载。您不想在 GET 请求中使用 JSON 返回敏感信息。
如果您需要发送 JSON 以响应 GET，并且不暴露敏感数据，您可以通过将 JsonRequestBehavior.AllowGet 作为第二个参数传递给 Json 来明确允许该行为
方法。
如
[HttpGet] //No need to decorate, as by default it will be GET
public JsonResult GetMyData(){
var myResultDataObject = buildMyData(); // build, but keep controller thin
// delegating buildMyData to builder/Query Builder using CQRS makes easy :)
return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
}
这里有一篇来自 Phil Haack JSON Hijacking 的有趣文章，关于为什么不使用 Json 和 GET 方法
【讨论】：
假设您的网站有一个GetUser 网络方法：
http://www.example.com/User/GetUser/32
返回 JSON 响应：
{ "Name": "John Doe" }
如果此方法只接受 POST 请求，那么只有在使用 POST 方法向http://www.example.com/User/GetUser/32 发出 AJAX 请求时，才会将内容返回给浏览器。请注意，除非您实现了CORS，否则浏览器将保护向您发出此请求的其他域的数据。
但是，如果您随后允许 GET 请求以及使用 GET 而不是 POST 发出与上述类似的 AJAX 请求，则恶意用户可能会通过使用 script 标记将您的 JSON 包含在他们自己网站的上下文中的 HTML。例如在www.evil.com:
<script src="http://www.example.com/User/GetUser/32"></script>
这个 JavaScript 对www.evil.com 应该是没用的，因为应该没有办法读取你的 web 方法返回的对象。但是，由于旧版本浏览器（例如 Firefox 3）中的错误，JavaScript 原型对象可能被重新定义，并使www.evil.com 可以读取您的方法返回的数据。这称为 JSON 劫持。
请参阅this post 了解一些防止这种情况的方法。但是，对于现代浏览器（Firefox、Chrome、IE）的较新版本（Firefox、Chrome、IE），这不是一个已知问题。
【讨论】：
www.example.com/User/DeleteUser/32），则可能会发生CSRF 攻击，因为请求将包含身份验证所需的cookie，因为它们来自受害者的机器。对于非常旧的浏览器，[Authorize] 也不会使您免受此处详述的攻击 - 这是用户自己访问www.evil.com，因此www.evil.com 向www.example.com 发出的请求将包含授权cookie。跨度>
在您的退货中使用以下内容：
return this.Json("you result", JsonRequestBehavior.AllowGet);
【讨论】：
当我们想从 MVC 应用程序向客户端返回一个 json 对象时，我们应该在返回一个对象时显式指定 JsonRequestBehavior.AllowGet。因此，我返回如下的 json 数据来解决这个问题：
return Json(yourObjectData, JsonRequestBehavior.AllowGet);
【讨论】：
您必须像这样使用 JsonRequestBehavior.AllowGet 进行 Json 响应：
return Json(YourObject, JsonRequestBehavior.AllowGet);
【讨论】：
return Json("Success", JsonRequestBehavior.AllowGet)
【讨论】：