Достаточны ли классы входа по умолчанию в Asp.net MVC? - PullRequest
0 голосов
/ 07 февраля 2009

Достаточны ли они с точки зрения безопасности для использования на общедоступном сайте? ИЛИ так мне нужно вносить изменения?

Ответы [ 2 ]

3 голосов
/ 07 февраля 2009

Это действительно зависит от того, какой сайт вы создаете, но я бы, вероятно, не развернул AccountController как есть. Это пример кода, который демонстрирует механизм использования MembershipProvider.

Например, некоторые вещи для рассмотрения:

  1. Вы можете включить CAPTCHA при регистрации
  2. Шаблон по умолчанию ничего не защищает с помощью атрибута [Authorize]. Если вам требуется логин, вы, вероятно, хотите иметь контроллеры и действия, требующие авторизации.

и т.д ...

Всегда берите на себя ответственность за безопасность своего сайта. Я бы сделал модель угрозы и выяснил, насколько безопасным должен быть ваш сайт. Например, некоторые сайты требуют двухфакторной аутентификации с чем-то вроде брелка RSA. Это не входит в шаблон по умолчанию. Я бы сказал, что большинству сайтов этот уровень не нужен. ;) Дело в том, что это зависит от ваших конкретных потребностей. Надеюсь, это поможет!

1 голос
/ 07 февраля 2009

Вы спрашиваете о членстве и поставщиках ролей или действиях и виде контроллера скелета? Поставщики членства и ролей, безусловно, поддерживают безопасное хранение паролей и позволяют адекватно защитить ваше приложение. Я нашел их немного излишними для тех вещей, которые я делаю, поэтому я решил реализовать свои собственные. Что касается действий контроллера, то они просто скелеты, и вы должны ожидать их изменения в соответствии со сценариями аутентификации. Во-первых, вы можете захотеть настроить защищенные соединения при передаче паролей. Если впоследствии вы решите перенаправить на незащищенное соединение, вам нужно будет вручную управлять URL-адресом перенаправления, поскольку маршрутизация по умолчанию не поддерживает (или, по крайней мере, не делает это в бета-версии MVC) переход с безопасного на незащищенное протоколы.

Суть в том, что вам все еще нужно убедиться, что вы обрабатываете данные безопасно, используете ли вы MVC или WebForms. Компоновка контроллеров и базовая настройка - адекватное начало, но вы должны убедиться, что оно соответствует вашим требованиям безопасности.

...