ASP.Net MVC ReturnUrl練習

Question

我有一個關於returnUrl querystring參數的問題，當試圖訪問需要身份驗證的頁面時，ASP.Net會附加該參數。 在查看Microsoft NerdDinner Sample的LogOn操作（以及在網絡上看到的所有其他“示例身份驗證代碼”）時，它只是在操作的簽名中聲明了ReturnUrl參數，並直接在Redirect（）調用中使用它。 但是，回到WebForms時代並使用成員資格控件，我們通常使用FormsAuthentication.GetReturnUrl（）調用。 除了在查詢字符串中未指定url的情況下返回“默認url”之外，它還會進行一些安全性檢查（跨應用程序重定向和“ IsDangerousUrl（）”）。 這些不再是一個問題，還是我在網上看到的所有示例“登錄”操作都只是忽略了這些問題？

Answer 1

我不確定您所查看的示例，但是完全有可能像在MVC中一樣使用Forms Authentication，並從FormsAuthenticationModule處理（或直接使用FormsAuthentication類）中執行的檢查中受益。

IIRC是Visual Studio中的默認MVC應用程序，它包括圍繞表單身份驗證（ AuthenticationService ）的適配器，可以很容易地將其適配為使用ReturnUrl查詢字符串。

我認為所涉及的樣本只是忽略了XSR攻擊。