是否使 asp:Button 控件不可见以确保用户无法单击它？

Question

我正在制作一个简单的网站，列出某个文件夹中的文件。如果用户有管理员权限，用户可以点击“删除”按钮删除文件。

在我的 .aspx 文件中，我有以下代码：

<asp:Button runat="server" Text="Delete" OnCommand="FileList_Delete"
            CommandArgument='<%#Eval("FilePath")%>' Visible='<%CurrentUserIsAdmin()%>' />

所以如果CurrentUserIsAdmin()返回false，按钮将不会被渲染。

按钮呈现如下：

<input type="submit" name="ctl00$ctl00$MainContent$LocalMainContent$FileList$ctrl0$ctl17" value="Delete" />

我的问题是：如果用户修改网页客户端以单击此不可见按钮，我能否确定此方法可以安全抵御已知代码攻击？还是我必须在代码隐藏中采取预防措施并在按钮单击事件中验证用户的权限？

Answer 1

是的，将按钮的 Visible 属性设置为 false 就足以防止引发其 Click 和 Command 事件，只要您不关闭默认的 WebForms 安全功能 em>。

您可以通过使用与呈现的<asp:Button> 相同的name 临时将始终可见的<input> 元素添加到您的.aspx 来轻松测试这一点：

<input type="submit"
       name="ctl00$ctl00$MainContent$LocalMainContent$FileList$ctrl0$ctl17"
       value="Fake Delete" />

当真正的删除按钮不可见时，单击虚假的删除按钮。您应该得到一个“无效的回发或回调参数。事件验证已启用...”异常。

重要提示：

• 不要在if (!IsPostBack) 块内将按钮的Visible 属性设置为false，因为攻击者有可能绕过该检查。请参阅this answer 了解更多信息。
• 必须启用 ASP.NET 事件验证（默认情况下）。所以不要通过将EnableEventValidation="False" 添加到@Page 指令或将<pages enableEventValidation="false" /> 添加到Web.config 来关闭它。
• 永远不要通过将EnableViewStateMac="False" 添加到@Page 指令或将<pages enableViewStateMac="false" /> 添加到Web.config 来禁用视图状态验证。 This would allow an attacker to tamper with the hidden __EVENTVALIDATION field 并做其他令人讨厌的事情。
• 如果您选择从标准 Button 控件派生自定义 Button 服务器控件，请确保将 [SupportsEventValidation] 属性添加到派生类。
• 如果您选择从头开始创建自定义 Button 服务器控件，请在适当的位置调用 RegisterForEventValidation 和 ValidateEvent。

Answer 2

他们根本看不到按钮，甚至“收到”它。您的服务器不会生成任何发送给此人的按钮代码。

你必须这样想。用户永远不会看到任何 asp 代码或能够处理它。他们只接收 html。您可以通过查看 html 并查看生成的内容来进一步确保这一点。

所以在这方面你是安全的。

Answer 3

我的问题是：如果用户修改网页客户端以单击此不可见按钮，我能否确定此方法可以安全抵御已知代码攻击？或者我必须在 CodeBehind 中进行预防并在按钮单击事件中验证用户权限？

我个人也会在点击事件中添加另一段代码。验证点击来自有权点击该按钮的用户。

您还可以从后面的代码中添加一个按钮，如下所示（假设您将此按钮放入名为 pnlButtons 的面板中）：

Button btnDeleteList = new Button();
btnDeleteList.Text = "Delete List";
btnDeleteList.Click += btnDeleteList_Click;
pnlButtons.Controls.Add(btnDeleteList);

换句话说，如果用户是管理员 - 添加一个按钮，如果用户不是管理员 - 不要添加。在这种情况下，您不必玩弄可见性。

希望这会有所帮助。