Какая «конфиденциальная информация» может быть раскрыта при установке JsonRequestBehavior на AllowGet

Я получаю одну и ту же старую ошибку каждый раз, когда тестирую новую URLв адресной строке браузера, когда я returning Json(использую встроенный MVC JsonResult helper):

Этот запрос был заблокирован, поскольку конфиденциальная информация может быть раскрыта сторонним веб-сайтам, когда она используется в файле GET request. Чтобы разрешить GET requests, установите JsonRequestBehaviorзначение AllowGet.

Вместо того, чтобы крякать в подтверждение и запускать Fiddler для выполнения почтового запроса, на этот раз мне интересно, что именно представляет собой GETзапрос, а POSTне запрос?

Допустим, у вашего сайта есть GetUserвеб-метод:

http://www.example.com/User/GetUser/32

который возвращает ответ JSON:

{ "Name": "John Doe" }

Если этот метод принимает только запросы POST, то содержимое будет возвращено в браузер только в том случае, если запрос AJAX выполнен с http://www.example.com/User/GetUser/32использованием метода POST. Обратите внимание: если вы не реализовали CORS , браузер будет защищать данные от других доменов, отправляющих этот запрос к вам.

Однако, если вы разрешили запросы GET, а также сделали запрос AJAX, аналогичный приведенному выше, с GET вместо POST, злонамеренный пользователь может включить ваш JSON в контекст своего собственного сайта, используя scriptтег в HTML. например, на www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Этот JavaScript должен быть бесполезным, www.evil.comпотому что не должно быть возможности прочитать объект, возвращаемый вашим веб-методом. Однако из-за ошибок в старых версиях браузеров (например, Firefox 3) возможно переопределение объектов-прототипов JavaScript и возможность www.evil.comчтения ваших данных, возвращаемых вашим методом. Это известно как JSON Hijacking.

Посмотрите этот пост, чтобы узнать о некоторых методах предотвращения этого. Однако это не известная проблема в более поздних версиях современных браузеров (Firefox, Chrome, IE).

взамен используйте следующее:

return this.Json("you result", JsonRequestBehavior.AllowGet);

По умолчанию платформа ASP.NET MVC не позволяет вам отвечать на запрос GET с полезной нагрузкой JSON, так как есть шанс, что злоумышленник может получить доступ к полезной нагрузке с помощью процесса, известного как JSON Hijacking. Вы не хотите возвращать конфиденциальную информацию, используя JSON в запросе GET.

Если вам нужно отправить JSON в ответ на GET и не раскрывать конфиденциальные данные, вы можете явно разрешить такое поведение, передав методу JsonRequestBehavior.AllowGetв качестве второго параметра Json.

Такие как

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Вот интересная статья Фила Хаака JSON Hijackingо том, почему бы не использовать Json с методом GET.

Когда мы хотим вернуть объект json клиенту из приложения MVC, мы должны явно указать JsonRequestBehavior.AllowGet при возврате объекта. В результате я возвращаю данные json, как показано ниже, чтобы решить проблему:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Вы должны использовать JsonRequestBehavior.AllowGet для ответа Json следующим образом:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Успех", JsonRequestBehavior.AllowGet)