如何使用 ASHX 处理程序进行正确的身份验证

Question

我正在使用 ASP.NET 的通用处理程序（ASHX 文件）来制作可以将数据返回到移动应用程序等的服务器端页面。其中一些数据是保密的。到目前为止，我正在使用 JSON 和 POST 方法。

但是，任何有权访问客户端代码（例如移动应用程序的代码）的人都可以看到他必须将哪些关键字发送到“不可预测”的 URL 才能进行更改或获取数据.

我已经研究了几个小时，但找不到合适的方法来验证发送 JSON 请求的人确实是经过批准的移动应用程序。

使用 AJAX 向服务器发送请求的示例：

function login() 
{
    var jsonParam = { name: "test", aname: "secret", pass: "1234", type: "login" }
    $.ajax({
        url: "AppDatabase.ashx",
        type: "post",
        data: JSON.stringify(jsonParam),
        dataType: "json",
        contentType: 'application/json; charset=utf-8',
        async:false,
        success: function (response) {
            alert(response.userEmail);
        },
        error: function(XMLHttpRequest, textStatus, errorThrown) { 
            alert("Status: " + textStatus + "\r\n" + "Error: " + errorThrown);
        }    
    });
}

服务器端接收请求示例：

public void ProcessRequest (HttpContext context) {
    context.Response.ContentType = "application/json";
    JavaScriptSerializer jss = new JavaScriptSerializer();

    context.Request.InputStream.Position = 0;
    string json;
    using (var reader = new StreamReader(context.Request.InputStream))
    {
        json = reader.ReadToEnd();
    }

    Dictionary<string, object> dict = jss.Deserialize<Dictionary<string, object>>(json);

    if(dict["aname"].ToString() == "secret")
    {
      // The best security I have right now is a "secret keyword" within the request
    }
}

Answer 1

只是一个想法：

客户端（例如移动应用）是“你的”还是意味着某种 API（针对 x 个客户端）？

不管怎样，也许值得研究JWT？这个想法是“有效负载”（数据）是签名的（例如 HMAC SHA-256）并且具有防止“重放”的保护。

这样，您不只是查看身份验证部分 - 重新：两端都需要验证 数据，因此双方都可以确保此类数据来自“正确的来源”并且是（仍然) 有效。

第...

Answer 2

你现在的方式很危险。

您可以使用另一个需要用户名和密码的页面进行身份验证（例如使用Session），然后让客户端请求您的 ashx 文件和您的 ashx应该检查Session 进行身份验证。