asp.net core安全事项(下)

越权

越权是非常严重的安全漏洞，通常状态是开发人员对请求的限制逻辑不严格导致的。

如果系统中有角色的概念，越权可能出现不同角色间的越权和同角色间的越权。

相同角色：

A用户，B用户是相同的角色。

A用户和B用户都可以调用 /photo/{id}。

这个url，如果在后端不判断这个phtoto的id属于那个用户的，就很容易造成越权，这里只要A用户登录验证通过后，就可以用这个api，换id来请求到B用户的照片信息，这种情况下通常在后端要把id和用户id都当成查询条件，去库中查询，这样就能有效防止越权。

其实就是加了一层过滤，是谁的数据。如果数据归属权有层级，交叉，那将是更复杂的控制，不过这些都是业务逻辑决定的。

        [HttpGet("/photo/{id}")]public IActionResult GetPohot(int id){//数据集全var photos = new List<dynamic>{new {ID=1, Name="第一张",User="A"},new {ID=2, Name="第二张",User="B"},new {ID=3, Name="第三张",User="A"},new {ID=4, Name="第四张",User="B"}};//越权//return new JsonResult(photos.SingleOrDefault(s => s.ID == id));//增加数据所属条件return new JsonResult(photos.SingleOrDefault(s => s.ID == id && s.User == User.Identity.Name));}

有时，我们很容易忽略一些数据所有权，比较上传的文件，图片，属于那个用户，可能在表里对文件，图片和用户作了绑定，但当前端访问或下载这个文件，图片时，并没有去对文件，图片所有权作个判断，从而造成越权风险。

不同角色：

A角色，B角色有不同的功能

很多时候，不同的角色有不同的功能，这些功能是通过菜单在UI上显示，当不同的角登录后，只能看见属于自己的功能，如果不在服务端对每个api和角色加以映射判断（api层的权限设定很重要），就很容易造成越权，虽然A角色在UI上看不到B角色的功能菜单，一但A记下B角角功能的url，也会很顺利的访问到B角色的功能。

还有一个就是权限控制模块的处理，如果多个角色都有不同的权限控制权限，一定要设置好权限的范围控制，权限低的不能添加或修改成权限高的用户，负责后果很严重，老板很生气。

asp.net core安全事项(下)相关推荐

重温.NET下Assembly的加载过程 ASP.NET Core Web API下事件驱动型架构的实现（三）：基于RabbitMQ的事件总线...
重温.NET下Assembly的加载过程最近在工作中牵涉到了.NET下的一个古老的问题:Assembly的加载过程.虽然网上有很多文章介绍这部分内容,很多文章也是很久以前就已经出现了,但阅读之后发现 ...
ASP.NET Core Web API下事件驱动型架构的实现（四）：CQRS架构中聚合与聚合根的实现
在前面两篇文章中,我详细介绍了基本事件系统的实现,包括事件派发和订阅.通过事件处理器执行上下文来解决对象生命周期问题,以及一个基于RabbitMQ的事件总线的实现.接下来对于事件驱动型架构的讨论,就需 ...
ASP.NET Core Web API下事件驱动型架构的实现（三）：基于RabbitMQ的事件总线
在上文中,我们讨论了事件处理器中对象生命周期的问题,在进入新的讨论之前,首先让我们总结一下,我们已经实现了哪些内容.下面的类图描述了我们已经实现的组件及其之间的关系,貌似系统已经变得越来越复杂了. 其 ...
ASP.NET Core Web API下事件驱动型架构的实现（二）：事件处理器中对象生命周期的管理
在ASP.NET Core Web API下事件驱动型架构的实现(一):一个简单的实现中,我介绍了事件驱动型架构的一种简单的实现,并演示了一个完整的事件派发.订阅和处理的流程.这种实现太简单了,百十行 ...
ASP.NET Core Web API下事件驱动型架构的实现（一）：一个简单的实现
很长一段时间以来,我都在思考如何在ASP.NET Core的框架下,实现一套完整的事件驱动型架构.这个问题看上去有点大,其实主要目标是为了实现一个基于ASP.NET Core的微服务,它能够非常简单地 ...
asp.net core安全事项(上)
隐藏web服务端信息创建一个asp.net core mcv web项目,运行,F12查看返回信息,如下图,会清晰看到服务端的类型是kestrel. 有时安全检测要求不能显示服务端信息,这样在一定程 ...
core webapi缩略图_在ASP.NET Core Web API 项目里无法访问（wwwroot）下的文件
新建 ASP.NET Core Web API 项目 -- RESTFul 风格 Hello World! 一.创建一个空项目请查看新建 .NET Core 项目 -- Hello World! ...
ASP.NET Core 文件系统
静态文件目录浏览默认页面 MIME类型配置实战文件服务器紧接上一讲中间件之后,今天来我们来讲一下关于 ASP.NET Core 中静态文件服务. 什么是静态文件? 先看一下下面例子(在客 ...
ASP.NET Core MVC+EF Core从开发到部署
笔记本电脑装了双系统(Windows 10和Ubuntu16.04)快半年了,平时有时间就喜欢切换到Ubuntu系统下耍耍Linux,熟悉熟悉Linux命令.Shell脚本以及Linux下的各种应用的 ...

asp.net core安全事项(下)

asp.net core安全事项(下)相关推荐

最新文章

热门文章