有什么方法可以隐藏/编码或保护 ajax 调用？

Question

我目前正在学习 Asp.Net MVC（我来自 WebForms 背景）并且我正在实现 Ajax 请求以调用返回 Json 对象的控制器方法。但是我正面临的问题是当我想执行某些操作直到用户达到某个阶段时，例如附加一个附加文本输入，添加一个保存按钮，创建一个新选项列表，问题是当用户经过身份验证我可以 从开发人员控制台（例如 Google Chrome）执行 ajax 调用并获取或发送该特定方法所需的 json 对象，即使该方法具有 [Authorize] 属性（当用户正确登录时）并且设置了 AntiForgeryToken，对 jQuery、MVC 和网络选项卡（在 Chrome 中）有一点了解，我可以假装调用是由于我从代码中允许的用户操作而不是从控制台进行的（我测试了自己并且它有效） ）。我知道我需要执行双面验证，客户端和服务器端。当验证不多时，这不是问题，但是当验证数量增加时，这可能会很乏味。

是否有任何方法可以进行更安全的 ajax 调用，例如编码或隐藏，或者根据您的知识，发出这些请求时的最佳做法是什么。我会很高兴有网络资源或书籍，我可以在其中获得有关该主题的正确信息（我进行了搜索，但没有找到任何关于我的问题的明确或具体的内容，我可能搜索方式错误）

谢谢。

Answer 1

Ajax 调用的安全性有点棘手。令牌将有助于阻止跨域请求。但是同一用户可以使用同一呼叫访问其他信息。一个好的技术是使用 asp.net 基于身份声明的授权，或者只是在控制器中检查用户和相关数据。如果该用户与他/她请求的数据没有关系，则抛出异常。

JK。

Answer 2

AuthorizeAttribute 作为附加的可选参数Roles

获取或设置有权访问控制器或操作方法的用户角色。

一种选择是在用户应该能够访问某些控制器操作（通过 Ajax 或其他方式）时为其分配一个特殊角色，并使用 Roles 参数控制访问。

另一种选择是在控制器中执行您自己的检查，以查看该用户是否满足您认为访问操作所需的任何条件，如果不满足则返回错误。

更新

有没有什么方法可以进行更安全的 ajax 调用，例如编码或隐藏，或者根据您的知识，发出这些请求时的最佳做法是什么。

您永远不能信任客户端应用程序。对于 Web 客户端应用程序来说更是如此，因为操作客户端（浏览器）的工具非常强大且易于使用。您绝对无法阻止某人使用控制台触发他们拥有有效凭据的 Ajax 命令。

Answer 3

如果网站的用户对相关控制器具有权限，那么您将永远无法做到这一点 - 那么从控制台进行的任何 ajax 调用都将具有相同的会话和相同的 cookie，并且将被授予相同的权限 -

您可以做的是在每个 ajax 调用中添加一些长的烦人的令牌作为额外的身份验证，但是用户可以再次查看 ajax 流量并将该令牌复制并粘贴到他们的 ajax 调用中。