Perché è necessario JsonRequestBehavior?

Perché è Json Request Behaviornecessario

Se voglio limitare le HttpGetrichieste alla mia azione, posso decorare l'azione con l' [HttpPost]attributo

Esempio:

[HttpPost]
public JsonResult Foo()
{
    return Json("Secrets");
}

// Instead of:
public JsonResult Foo()
{
    return Json("Secrets", JsonRequestBehavior.AllowGet);
}

Perché non è [HttpPost]sufficiente?
Perché il framework ci "bug" con JsonRequestBehavior.AllowGetper ogni cosa JsonResultche abbiamo. Se voglio negare ottenere richieste, aggiungerò l' HttpPostattributo.

Per impostazione predefinita, MVC DenyGetti protegge da un attacco molto specifico che coinvolge richieste JSON per migliorare la probabilità che le implicazioni di consentire l' HTTP GETesposizione siano considerate in anticipo rispetto al loro verificarsi.

Ciò si oppone in seguito quando potrebbe essere troppo tardi.

Nota: se il metodo di azione non restituisce dati sensibili, dovrebbe essere sicuro consentire l'ottenimento.

Ulteriori letture dal mio libro Wrox ASP.NET MVC3

Per impostazione predefinita, il framework ASP.NET MVC non consente di rispondere a una richiesta GET HTTP con un payload JSON. Se è necessario inviare JSON in risposta a un GET, è necessario consentire esplicitamente il comportamento utilizzando JsonRequestBehavior.AllowGet come secondo parametro del metodo Json. Tuttavia, esiste la possibilità che un utente malintenzionato possa accedere al payload JSON attraverso un processo noto come dirottamento JSON. Non si desidera restituire informazioni riservate utilizzando JSON in una richiesta GET. Per ulteriori dettagli, consultare il post di Phil all'indirizzo http://haacked.com/archive/2009/06/24/json-hijacking.aspx/ o questo post SO.

Haack, Phil (2011). Professional ASP.NET MVC 3 (programmatore Wrox da programmatore) (Posizioni Kindle 6014-6020). Wrox. Edizione Kindle.

Domanda StackOverflow correlata

Con la maggior parte dei browser recenti (a partire da Firefox 21, Chrome 27 o IE 10), questa non è più una vulnerabilità.

Per semplificarti, puoi anche creare un actionfilterattribute

public class AllowJsonGetAttribute : ActionFilterAttribute
{
    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;

        if (jsonResult == null)
            throw new ArgumentException("Action does not return a JsonResult, 
                                                   attribute AllowJsonGet is not allowed");

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;            

        base.OnResultExecuting(filterContext);
    }
}

e usalo per la tua azione

[AllowJsonGet]
public JsonResult MyAjaxAction()
{
    return Json("this is my test");
}

Per impostazione predefinita, Jsonresult "Nega get"

Supponiamo che abbiamo un metodo come di seguito

  [HttpPost]
 public JsonResult amc(){}

Per impostazione predefinita, "Nega Get".

Nel metodo seguente

public JsonResult amc(){}

Quando è necessario consentire o utilizzare get, è necessario utilizzare JsonRequestBehavior.AllowGet.

public JsonResult amc()
{
 return Json(new Modle.JsonResponseData { Status = flag, Message = msg, Html = html }, JsonRequestBehavior.AllowGet);
}

Migliorare un po 'la risposta di @Arjen de Mooij rendendo il AllowJsonGetAttribute applicabile ai controller mvc (non solo ai singoli metodi di azione):

using System.Web.Mvc;
public sealed class AllowJsonGetAttribute : ActionFilterAttribute, IActionFilter
{
    void IActionFilter.OnActionExecuted(ActionExecutedContext context)
    {
        var jsonResult = context.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
    }

    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
        base.OnResultExecuting(filterContext);
    }
}

Non ne hai bisogno.

Se l'azione ha l' HttpPostattributo, non è necessario preoccuparsi di impostare JsonRequestBehaviore utilizzare il sovraccarico senza di essa. C'è un sovraccarico per ogni metodo senza JsonRequestBehaviorenum. Eccoli:

Senza JsonRequestBehavior

protected internal JsonResult Json(object data);
protected internal JsonResult Json(object data, string contentType);
protected internal virtual JsonResult Json(object data, string contentType, Encoding contentEncoding);

Con JsonRequestBehavior

protected internal JsonResult Json(object data, JsonRequestBehavior behavior);
protected internal JsonResult Json(object data, string contentType, 
                                   JsonRequestBehavior behavior);
protected internal virtual JsonResult Json(object data, string contentType, 
    Encoding contentEncoding, JsonRequestBehavior behavior);