jQuery ASP.NET MVC JSON 调用可破解？答案

【问题标题】：jQuery ASP.NET MVC JSON call hackable?jQuery ASP.NET MVC JSON 调用可破解？
【发布时间】：2011-01-20 14:02:24
【问题描述】：

我有一个基本的 JsonResult 方法，在我的视图中被 jQuery $.ajax 调用调用。

    [AcceptVerbs(HttpVerbs.Post)]
    public JsonResult DoWork(string param1)
    {
        // do something important 

        return Json();
    }

所以我的问题是，是否可以调用/破解此方法并传递错误数据？假设这是在系统中创建一个新用户。我可以伪造对这个方法的调用吗？我应该如何使用某种防伪令牌或任何东西来保护这种方法？

【问题讨论】：

【解决方案1】：

是的，你应该保护它。任何人都可以调用此方法，并传递他们想要的任何值。您应该始终不信任您收到的数据。

您当然可以使用 Authorize-attribute 来保护它：

[Authorize(Roles='...')]

或使用任何其他方法来识别和授权用户。

编辑：

之前的链接失效了。有关 Ajax 中的 anti-forgerytoken 的更多信息，请查看这个 SO-question：jQuery Ajax calls and the Html.AntiForgeryToken()

不过我还没有测试过。

【讨论】：

【解决方案2】：

是的。可以像任何其他公共控制器操作一样调用此方法。

【讨论】：