Quali "informazioni sensibili" potrebbero essere divulgate quando si imposta JsonRequestBehavior su AllowGet

Ho ricevuto lo stesso vecchio errore ogni volta che ne provo uno nuovo URLdalla barra degli indirizzi del mio browser quando sto returning Json(utilizzando il built-in MVC JsonResult helper):

Questa richiesta è stata bloccata perché informazioni sensibili potrebbero essere divulgate a siti Web di terzi quando vengono utilizzate in un file GET request. Per consentire GET requests, impostare JsonRequestBehaviorsu AllowGet.

Piuttosto che grugnire in segno di riconoscimento e accendere Fiddler per fare una richiesta di post, questa volta, mi chiedo esattamente che cosa è che una GETrichiesta espone che una POSTrichiesta non lo fa?

Supponiamo che il tuo sito web abbia un GetUsermetodo web:

http://www.example.com/User/GetUser/32

che restituisce una risposta JSON:

{ "Name": "John Doe" }

Se questo metodo accetta solo richieste POST, il contenuto verrà restituito al browser solo se viene effettuata una richiesta AJAX http://www.example.com/User/GetUser/32utilizzando il metodo POST. Nota che a meno che tu non abbia implementato CORS , il browser proteggerà i dati da altri domini che fanno questa richiesta al tuo.

Tuttavia, se hai consentito le richieste GET, oltre a effettuare una richiesta AJAX simile a quella sopra con GET invece di POST, un utente malintenzionato potrebbe includere il tuo JSON nel contesto del proprio sito utilizzando un scripttag nell'HTML. ad esempio su www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Questo JavaScript dovrebbe essere inutile www.evil.comperché non dovrebbe esserci modo di leggere l'oggetto restituito dal tuo metodo web. Tuttavia, a causa di bug nelle vecchie versioni dei browser (es. Firefox 3), è possibile ridefinire gli oggetti prototipo JavaScript e rendere possibile la www.evil.comlettura dei dati restituiti dal metodo. Questo è noto come dirottamento JSON.

Vedi questo post per alcuni metodi per prevenirlo. Tuttavia, non è un problema noto con le versioni successive dei browser moderni (Firefox, Chrome, IE).

nel tuo reso usa quanto segue:

return this.Json("you result", JsonRequestBehavior.AllowGet);

Per impostazione predefinita, il framework ASP.NET MVC non consente di rispondere a una richiesta GET con un payload JSON poiché esiste la possibilità che un utente malintenzionato possa accedere al payload tramite un processo noto come JSON Hijacking. Non vuoi restituire informazioni sensibili utilizzando JSON in una richiesta GET.

Se devi inviare JSON in risposta a un GET e non stai esponendo dati sensibili, puoi consentire esplicitamente il comportamento passando JsonRequestBehavior.AllowGetcome secondo parametro alJson metodo.

Ad esempio

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Ecco un interessante articolo di Phil Haack JSON Hijackingsul perché non usare Json con il metodo GET

Quando vogliamo restituire un oggetto json al client dall'applicazione MVC, dobbiamo specificare esplicitamente JsonRequestBehavior.AllowGet quando restituiamo un oggetto. Di conseguenza, restituisco i dati json come di seguito per superare il problema:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Devi usare JsonRequestBehavior.AllowGet per la risposta Json in questo modo:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Success", JsonRequestBehavior.AllowGet)