Welche "vertraulichen Informationen" können beim Festlegen von JsonRequestBehavior auf AllowGet angegeben werden?

Ich habe jedes Mal den gleichen alten Fehler erhalten, wenn ich einen neuen Fehler in URLder Adressleiste meines Browsers teste, wenn ich returning Json(unter Verwendung der integrierten Funktion MVC JsonResult helper):

Diese Anfrage wurde blockiert, da vertrauliche Informationen an Websites Dritter weitergegeben werden können, wenn diese in einem verwendet werden GET request. Um dies zuzulassen GET requests, setzen Sie JsonRequestBehaviorauf AllowGet.

Anstatt in der Bestätigung zu grunzen und Fiddler zu veranlassen, eine Post-Anfrage zu stellen, frage ich mich diesmal genau, was genau eine GETAnfrage enthüllt, was eine POSTAnfrage nicht tut?

Angenommen, Ihre Website verfügt über eine GetUserWebmethode:

http://www.example.com/User/GetUser/32

Dies gibt eine JSON-Antwort zurück:

{ "Name": "John Doe" }

Wenn diese Methode nur POST-Anforderungen akzeptiert, wird der Inhalt nur an den Browser zurückgegeben, wenn eine AJAX-Anforderung zur http://www.example.com/User/GetUser/32Verwendung der POST-Methode gestellt wird. Beachten Sie , dass der Browser die Daten vor anderen Domänen schützt, die diese Anforderung an Ihre senden , sofern Sie CORS nicht implementiert haben .

Wenn Sie jedoch GET-Anforderungen zugelassen und eine AJAX-Anforderung ähnlich der oben genannten mit GET anstelle von POST gestellt haben, kann ein böswilliger Benutzer Ihren JSON mithilfe eines scriptTags im HTML- Code in den Kontext seiner eigenen Site aufnehmen . zB am www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Dieses JavaScript sollte unbrauchbar sein, www.evil.comda es keine Möglichkeit geben sollte, das von Ihrer Webmethode zurückgegebene Objekt zu lesen. Aufgrund von Fehlern in alten Browserversionen (z. B. Firefox 3) ist es jedoch möglich, JavaScript-Prototypobjekte neu zu definieren und www.evil.comIhre von Ihrer Methode zurückgegebenen Daten zu lesen. Dies ist als JSON-Hijacking bekannt.

In diesem Beitrag finden Sie einige Methoden, um dies zu verhindern. Es ist jedoch kein bekanntes Problem mit den späteren Versionen moderner Browser (Firefox, Chrome, IE).

Verwenden Sie bei Ihrer Rücksendung Folgendes:

return this.Json("you result", JsonRequestBehavior.AllowGet);

Standardmäßig können Sie mit dem ASP.NET MVC-Framework nicht auf eine GET-Anforderung mit einer JSON-Nutzlast antworten, da ein böswilliger Benutzer möglicherweise über einen als JSON-Hijacking bezeichneten Prozess auf die Nutzlast zugreifen kann. Sie möchten keine vertraulichen Informationen mit JSON in einer GET-Anforderung zurückgeben.

Wenn Sie JSON als Antwort auf ein GET senden müssen und keine vertraulichen Daten verfügbar machen, können Sie das Verhalten explizit zulassen, indem Sie es JsonRequestBehavior.AllowGetals zweiten Parameter an die Json Methode übergeben.

Sowie

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Hier ist ein interessanter Artikel von Phil Haack JSON Hijackingdarüber, warum man Json nicht mit der GET-Methode verwenden sollte

Wenn wir ein JSON-Objekt aus einer MVC-Anwendung an den Client zurückgeben möchten, sollten wir bei der Rückgabe eines Objekts explizit JsonRequestBehavior.AllowGet angeben. Infolgedessen gebe ich die folgenden JSON-Daten zurück, um das Problem zu beheben:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Sie müssen JsonRequestBehavior.AllowGet für Json Response wie folgt verwenden:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Erfolg", JsonRequestBehavior.AllowGet)