ASP.Net MVC ReturnUrl练习

Question

我有一个关于returnUrl querystring参数的问题，当试图访问需要身份验证的页面时，ASP.Net会附加该参数。 在查看Microsoft NerdDinner Sample的LogOn操作（以及在网络上看到的所有其他“示例身份验证代码”）时，它只是在操作的签名中声明了ReturnUrl参数，并直接在Redirect（）调用中使用它。 但是，回到WebForms时代并使用成员资格控件，我们通常使用FormsAuthentication.GetReturnUrl（）调用。 除了在查询字符串中未指定url的情况下返回“默认url”之外，它还会进行一些安全性检查（跨应用程序重定向和“ IsDangerousUrl（）”）。 这些不再是一个问题，还是我在网上看到的所有示例“登录”操作都只是忽略了这些问题？

Answer 1

我不确定您所查看的示例，但是完全有可能像在MVC中一样使用Forms Authentication，并从FormsAuthenticationModule处理（或直接使用FormsAuthentication类）中执行的检查中受益。

IIRC是Visual Studio中的默认MVC应用程序，它包括围绕表单身份验证（ AuthenticationService ）的适配器，可以很容易地将其适配为使用ReturnUrl查询字符串。

我认为所涉及的样本只是忽略了XSR攻击。