Как сделать безопасный вызов ajax, используя asp.net? - PullRequest
0 голосов
/ 05 октября 2018

Я новичок в ajax. На моем веб-сайте я вызываю Ajax, он передает параметр и извлекает записи из базы данных на основе этого параметра.

Но я вижу полную ссылку на URL в Inspect Element'sвкладка сети, как показано ниже

Employee.aspx?userid=45

Я проверяю переполнение стека ссылка .Я не получил ясного представления об этом.

На некоторых сайтах, где они упоминают, мы можем Token, аутентифицировать пользователя, использовать куки .Но я не понимаю, как использовать эти вещи в моем коде ajax

1 Ответ

0 голосов
/ 05 октября 2018

Ответ на этот вопрос не является фиксированным, это зависит от того, какой подход вы используете.Ссылка переполнения стека, которую вы предоставили, указывает на то же самое, что и проблема с ссылками, имеющаяся у вас прямо сейчас.Любые следующие способы - это несколько возможных подходов, которые вы можете использовать, чтобы предотвратить просмотр вашего URL для конечных пользователей

1.Используйте уникальные ключи / псевдонимы / идентификаторы

Чтобы предотвратить непосредственное раскрытие первичного ключа вашей таблицы конечному пользователю из devtools, в вашей пользовательской таблице может быть столбец ключей пользователя, который имеетнекоторый случайный 4-6-значный уникальный код на пользователя, чтобы идентифицировать каждого из них и использовать эти ключи для связи через URL или вызовы служб вместо самого первичного ключа.То же самое можно применить к любым таблицам.Некоторые люди предпочитают, чтобы псевдоним имени пользователя, используемый в URL-адресах, например, имя сотрудника "John Marshal", может иметь URL-адрес, например Employee.aspx? Username = john-marshal

2.Токен, основанный на аутентификации или Cookies

Здесь требуется некоторое обучение.Основная идея заключается в том, что служба, которая вызывается на основе URL-адреса, будет предоставлена ​​только аутентичному пользователю, у которого токен или файл cookie уже присутствуют на стороне пользователя.Таким образом, при вызове не будет обнаружено никаких данных, он просто вернет HTTP-ответы «403 Forbidden» или «401 Unauthorized».И такой URL будет существовать только на страницах, доступных для аутентичного пользователя.Это означает, что до тех пор, пока пользователь не войдет в систему, он не сможет получить данные с таких URL-адресов.

Тем не менее, есть много способов добиться этого, но это все подходы, которые можно рассмотреть;Вы не можете полностью защитить запрошенный URL-адрес, подход, который может.

Надеюсь, это поможет

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...