Quelles `` informations sensibles '' pourraient être divulguées lors de la définition de JsonRequestBehavior sur AllowGet

J'obtiens la même vieille erreur chaque fois que je teste une nouvelle à URLpartir de la barre d'adresse de mon navigateur lorsque j'utilise returning Json(en utilisant le intégré MVC JsonResult helper):

Cette demande a été bloquée car des informations sensibles pourraient être divulguées à des sites Web tiers lorsqu'elles sont utilisées dans un fichier GET request. Pour autoriser GET requests, définissez JsonRequestBehaviorsur AllowGet.

Plutôt que de grogner en accusé de réception et de lancer Fiddler pour faire une demande de publication, cette fois, je me demande exactement ce qu'une GETdemande expose qu'une POSTdemande ne le fait pas?

Supposons que votre site Web dispose d'une GetUserméthode Web:

http://www.example.com/User/GetUser/32

qui renvoie une réponse JSON:

{ "Name": "John Doe" }

Si cette méthode n'accepte que les requêtes POST, le contenu ne sera renvoyé au navigateur que si une requête AJAX est effectuée à l' http://www.example.com/User/GetUser/32aide de la méthode POST. Notez qu'à moins que vous n'ayez implémenté CORS , le navigateur protégera les données des autres domaines faisant cette demande au vôtre.

Cependant, si vous avez autorisé les requêtes GET à ce moment-là et que vous faites une requête AJAX similaire à celle ci-dessus avec GET au lieu de POST, un utilisateur malveillant pourrait inclure votre JSON dans le contexte de son propre site en utilisant une scriptbalise dans le HTML. par exemple sur www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Ce JavaScript devrait être inutile www.evil.comcar il ne devrait y avoir aucun moyen de lire l'objet retourné par votre méthode web. Cependant, en raison de bugs dans les anciennes versions de navigateurs (ex: Firefox 3), il est possible que des objets prototypes JavaScript soient redéfinis et permettent www.evil.comde lire vos données renvoyées par votre méthode. C'est ce qu'on appelle le détournement JSON.

Voir cet article pour quelques méthodes pour éviter cela. Cependant, ce n'est pas un problème connu avec les dernières versions des navigateurs modernes (Firefox, Chrome, IE).

dans votre retour, utilisez les éléments suivants:

return this.Json("you result", JsonRequestBehavior.AllowGet);

Par défaut, le framework ASP.NET MVC ne vous permet pas de répondre à une requête GET avec une charge utile JSON car il y a une chance qu'un utilisateur malveillant puisse accéder à la charge utile via un processus connu sous le nom de piratage JSON. Vous ne souhaitez pas renvoyer d'informations sensibles à l'aide de JSON dans une requête GET.

Si vous avez besoin d'envoyer JSON en réponse à un GET et que vous n'exposez pas de données sensibles, vous pouvez explicitement autoriser le comportement en le passant JsonRequestBehavior.AllowGetcomme deuxième paramètre à la Json méthode.

Tel que

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Voici un article intéressant de Phil Haack JSON Hijackingsur pourquoi ne pas utiliser Json avec la méthode GET

Lorsque nous voulons renvoyer un objet json au client à partir de l'application MVC, nous devons spécifier explicitement JsonRequestBehavior.AllowGet lors du retour d'un objet. En conséquence, je renvoie les données json comme ci-dessous pour résoudre le problème:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Vous devez utiliser JsonRequestBehavior.AllowGet pour Json Response comme ceci:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Success", JsonRequestBehavior.AllowGet)