Зачем нужен JsonRequestBehavior?

Зачем Json Request Behaviorнужен?

Если я хочу ограничить HttpGetзапросы к своему действию, я могу украсить действие [HttpPost]атрибутом

Пример:

[HttpPost]
public JsonResult Foo()
{
    return Json("Secrets");
}

// Instead of:
public JsonResult Foo()
{
    return Json("Secrets", JsonRequestBehavior.AllowGet);
}

Почему не [HttpPost]достаточно?
Почему рамки "наседают" на нас JsonRequestBehavior.AllowGetза все, JsonResultчто у нас есть. Если я хочу отказать в получении запросов, я добавлю HttpPostатрибут.

По умолчанию MVC DenyGetзащищает вас от очень специфической атаки, включающей запросы JSON, для повышения вероятности того, что последствия разрешения HTTP GETподверженности рассматриваются заранее, прежде чем они могут произойти.

Это противоположно тому, когда это может быть слишком поздно.

Примечание. Если ваш метод действия не возвращает конфиденциальные данные, тогда следует разрешить получение.

Дальнейшее чтение из моей книги по Wrox ASP.NET MVC3

По умолчанию среда ASP.NET MVC не позволяет отвечать на запрос HTTP GET с полезной нагрузкой JSON. Если вам нужно отправить JSON в ответ на GET, вам нужно явно разрешить поведение, используя JsonRequestBehavior.AllowGet в качестве второго параметра метода Json. Однако есть вероятность, что злоумышленник может получить доступ к полезной нагрузке JSON с помощью процесса, известного как JSON Hijacking. Вы не хотите возвращать конфиденциальную информацию, используя JSON в GET-запросе. Для получения дополнительной информации см. Сообщение Фила по адресу http://haacked.com/archive/2009/06/24/json-hijacking.aspx/ или это ТАК.

Хаак, Фил (2011). Профессиональный ASP.NET MVC 3 (программист Wrox для программиста) (Kindle Locations 6014-6020). Wrox. Kindle Edition.

Связанный вопрос StackOverflow

В большинстве последних браузеров (начиная с Firefox 21, Chrome 27 или IE 10) эта уязвимость больше не существует.

Чтобы вам было проще, вы также можете создать actionfilterattribute

public class AllowJsonGetAttribute : ActionFilterAttribute
{
    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;

        if (jsonResult == null)
            throw new ArgumentException("Action does not return a JsonResult, 
                                                   attribute AllowJsonGet is not allowed");

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;            

        base.OnResultExecuting(filterContext);
    }
}

и использовать его в своих действиях

[AllowJsonGet]
public JsonResult MyAjaxAction()
{
    return Json("this is my test");
}

По умолчанию Jsonresult "Запретить получить"

Предположим, если у нас есть метод, как показано ниже

  [HttpPost]
 public JsonResult amc(){}

По умолчанию это «Запретить получение».

В методе ниже

public JsonResult amc(){}

Когда вам нужно разрешить или использовать get, мы должны использовать JsonRequestBehavior.AllowGet.

public JsonResult amc()
{
 return Json(new Modle.JsonResponseData { Status = flag, Message = msg, Html = html }, JsonRequestBehavior.AllowGet);
}

Немного улучшив ответ @Arjen de Mooij, сделав AllowJsonGetAttribute применимым к mvc-контроллерам (а не только к отдельным методам действий):

using System.Web.Mvc;
public sealed class AllowJsonGetAttribute : ActionFilterAttribute, IActionFilter
{
    void IActionFilter.OnActionExecuted(ActionExecutedContext context)
    {
        var jsonResult = context.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
    }

    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
        base.OnResultExecuting(filterContext);
    }
}

Тебе это не нужно.

Если у вашего действия есть HttpPostатрибут, вам не нужно беспокоиться об установке JsonRequestBehaviorи использовать перегрузку без него. Существует перегрузка для каждого метода без JsonRequestBehaviorперечисления. Они здесь:

Без JsonRequestBehavior

protected internal JsonResult Json(object data);
protected internal JsonResult Json(object data, string contentType);
protected internal virtual JsonResult Json(object data, string contentType, Encoding contentEncoding);

С помощью JsonRequestBehavior

protected internal JsonResult Json(object data, JsonRequestBehavior behavior);
protected internal JsonResult Json(object data, string contentType, 
                                   JsonRequestBehavior behavior);
protected internal virtual JsonResult Json(object data, string contentType, 
    Encoding contentEncoding, JsonRequestBehavior behavior);