拒绝对操作方法的直接 URL 访问

Question

我试图找到一种方法来拒绝对我的操作方法的任何直接访问。 基本上我希望我的用户点击链接进行导航，而不是直接在浏览器的地址栏中输入 URL。

现在我知道这可以通过检查请求对象中的 urlreferrer 来完成，但这有点不可靠和弱，因为 urlreferrer 很容易被修改，并且一些安全套件实际上从请求中删除了它。

那么你们中有人知道在 asp.net mvc3 中做到这一点的方法吗？

Answer 1

下面是 NoDirectAccessAttribute 方法的代码，用于限制对任何应用 NoDirectAccess 属性的类或操作方法的直接访问

using System;
using System.Web.Mvc;
using System.Web.Routing;

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
public class NoDirectAccessAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        if (filterContext.HttpContext.Request.UrlReferrer == null || 
                    filterContext.HttpContext.Request.Url.Host != filterContext.HttpContext.Request.UrlReferrer.Host)
            {
            filterContext.Result = new RedirectToRouteResult(new
                           RouteValueDictionary(new { controller = "Home", action = "Index", area = "" }));  
        }
    }
}

对于不希望用户直接请求的任何控制器或操作方法，请按如下方式使用操作过滤器

[NoDirectAccess]
public ActionResult IsUsernameUnique()

在上面的示例中，对 IsUsernameUnique 操作方法的任何直接访问都会自动将用户重定向到 Home/Index 操作方法。

Answer 2

我不确定，但也许这可以帮助您考虑我们有一个带有此网址的页面

www.yoursite.com/home.aspx

为了避免您的用户直接浏览此页面，您可以像这样重写您的网址

www.yoursite.com/fdmf489ruv30/home.aspx

在这个 url 中，“fdmf489ruv30”部分是你在 session_start 上创建的唯一字符串，并将在 session_end 上销毁它

Answer 3

在 Global.asax.cs 中使用此代码并向所有控制器调用 [NoDirectAccess]

    //Prevent direct URL access: Call [NoDirectAccess] to all controllers to block
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
    public class NoDirectAccessAttribute : ActionFilterAttribute
    {
        public override void OnActionExecuting(ActionExecutingContext filterContext)
        {
            if (filterContext.HttpContext.Request.UrlReferrer == null ||
                        filterContext.HttpContext.Request.Url.Host != filterContext.HttpContext.Request.UrlReferrer.Host)
            {
                filterContext.Result = new RedirectToRouteResult(new
                               RouteValueDictionary(new { controller = "Home", action = "Login", area = "" }));
            }
        }
    }

Answer 4

不可能安全地确保授权用户不能欺骗有效请求。
毕竟，如果浏览器可以创建“有效请求”，那么授权用户也可以！

然而，这是一个不寻常的要求，我很想知道它背后的动机是什么？

但是，有多种方法可以使欺骗请求变得更加困难。
由于没有任何方法是完全安全的，您可以尝试混淆并让某人欺骗您的请求变得乏味。

正如其他人所建议的那样，您可以为每个会话创建一个随机“令牌”，并在 URL 中要求它（作为路径或作为查询字符串）。

为此使用 JavaScript 会更好。 用这个“令牌”渲染一个隐藏的输入。 然后，拦截每个链接的click事件，将“token”值附加到 URL，然后导航到 URL。

您可以在使用之前增强 JavaScript 以某种方式“处理”您的令牌，并缩小您的 JavaScript 以混淆它……这肯定会阻止即使高于平均水平的用户修改您的 URL。

有很多可能的解决方案，但“正确”的解决方案实际上取决于您试图阻止的特定行为。

Answer 5

一个快速的方法是在重定向的动作中设置一个包含随机数的会话，并将随机数作为参数传递给另一个动作。

在另一个动作（重定向的）中，将会话的值与动作的参数进行比较。 如果值相等，则用户通过按下按钮到达那里，否则，用户通过更改 URL 到达那里。 希望能帮助到你。

关于 Stackoverflow 的问题