'Informasi sensitif' apa yang dapat diungkapkan saat menyetel JsonRequestBehavior ke AllowGet

Saya mendapatkan kesalahan lama yang sama setiap kali saya menguji yang baru URLdari bilah alamat browser saya saat saya returning Json(menggunakan bawaan MVC JsonResult helper):

Permintaan ini telah diblokir karena informasi sensitif dapat diungkapkan ke situs web pihak ketiga jika ini digunakan di GET request. Untuk mengizinkan GET requests, setel JsonRequestBehaviorke AllowGet.

Daripada mendengus dalam pengakuan dan menjalankan Fiddler untuk melakukan permintaan posting, kali ini, saya bertanya-tanya apa sebenarnya GETpermintaan yang mengekspos POSTpermintaan itu tidak?

Katakanlah situs web Anda memiliki GetUsermetode web:

http://www.example.com/User/GetUser/32

yang mengembalikan respons JSON:

{ "Name": "John Doe" }

Jika metode ini hanya menerima permintaan POST, maka konten hanya akan dikembalikan ke browser jika permintaan AJAX dibuat untuk http://www.example.com/User/GetUser/32menggunakan metode POST. Perhatikan bahwa kecuali Anda telah menerapkan CORS , browser akan melindungi data dari domain lain yang membuat permintaan ini kepada Anda.

Namun, jika Anda mengizinkan permintaan GET dan juga membuat permintaan AJAX yang serupa dengan yang di atas dengan GET, bukan POST, pengguna yang berniat jahat dapat menyertakan JSON Anda dalam konteks situs mereka sendiri dengan menggunakan scripttag di HTML. misalnya pada www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

JavaScript ini seharusnya tidak berguna www.evil.comkarena seharusnya tidak ada cara membaca objek yang dikembalikan oleh metode web Anda. Namun, karena bug di versi lama browser (mis. Firefox 3), objek prototipe JavaScript dapat didefinisikan ulang dan memungkinkan untuk www.evil.commembaca data Anda yang dikembalikan oleh metode Anda. Ini dikenal sebagai JSON Hijacking.

Lihat posting ini untuk beberapa metode mencegah ini. Namun, ini bukan masalah yang diketahui dengan versi browser modern yang lebih baru (Firefox, Chrome, IE).

dalam pengembalian Anda gunakan yang berikut ini:

return this.Json("you result", JsonRequestBehavior.AllowGet);

Secara default, kerangka kerja ASP.NET MVC tidak memungkinkan Anda untuk menanggapi permintaan GET dengan muatan JSON karena ada kemungkinan pengguna jahat dapat memperoleh akses ke muatan melalui proses yang dikenal sebagai JSON Hijacking. Anda tidak ingin mengembalikan informasi sensitif menggunakan JSON dalam permintaan GET.

Jika Anda perlu mengirim JSON sebagai respons terhadap GET, dan tidak mengekspos data sensitif, Anda dapat secara eksplisit mengizinkan perilaku dengan meneruskan JsonRequestBehavior.AllowGetsebagai parameter kedua ke Json metode.

Seperti

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Berikut adalah artikel menarik dari Phil Haack JSON Hijackingtentang mengapa tidak menggunakan Json dengan metode GET

Ketika kita ingin mengembalikan objek json ke klien dari aplikasi MVC, kita harus secara eksplisit menentukan JsonRequestBehavior.AllowGet saat mengembalikan objek. Akibatnya, saya mengembalikan data json seperti di bawah ini untuk mengatasi masalah tersebut:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Anda harus menggunakan JsonRequestBehavior.AllowGet untuk Json Response seperti ini:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Success", JsonRequestBehavior.AllowGet)