Denegar el acceso directo a la URL al método de acción

Question

Estoy tratando de encontrar una forma de denegar el acceso directo a mis métodos de acción. Básicamente, quiero que mis usuarios hagan clic en los enlaces para navegar en lugar de escribir la URL directamente en la barra de direcciones en sus navegadores.

Ahora sé que esto se puede hacer comprobando el urlreferrer en el objeto de solicitud, pero esto es poco confiable y débil porque el urlreferrer se puede modificar fácilmente y algunas suites de seguridad realmente lo eliminan de la solicitud.

¿Alguno de ustedes sabe de alguna manera de hacer esto en asp.net mvc3?

Answer 1

no estoy seguro, pero tal vez esta oferta puedo ayudarle tipo permite creer que tiene una URL como esta

www.yoursite.com/home.aspx 

bien? para evitar su usuario cejas directamente esta página puede volver a escribir que URL como esta

www.yoursite.com/fdmf489ruv30/home.aspx 

y en este url la parte "fdmf489ruv30" es una cadena única que creó en session_start y lo destruirá en Session_End

¿Lo entiende o necesita más información sobre esta idea? puede buscar este tipo de amigo reescribiendo url.

Answer 2

Una forma rápida de hacerlo es establecer una sesión que contenga un número aleatorio en la acción que está redireccionando, también pasar el número aleatorio como un parámetro a la otra acción.

Dentro de la otra acción (redirigida), compare el valor de la sesión con el parámetro de la acción. Si los valores son iguales, el usuario está llegando pulsando el botón, de lo contrario, el usuario llega cambiando la URL. Espero eso ayude.

question on Stackoverflow

Answer 3

Es imposible para garantizar con seguridad que un usuario no autorizado no puede falsificar una solicitud válida.
Después de todo, si el navegador puede crear una "solicitud válida", entonces también lo puede hacer un usuario autorizado!

Sin embargo, este es un requisito inusual, y estoy interesado en saber cuál es la motivación detrás de esto.

Existen, sin embargo, varias formas de dificultar la suplantación de la solicitud.
Dado que ningún método será completamente seguro, puede intentar ofuscar y hacerlo tedioso para que alguien pueda suplantar sus peticiones.

Como han sugerido otros, podría crear un "token" aleatorio por sesión y requerirlo en la URL (ya sea como una ruta o como una cadena de consulta).

Sería incluso mejor utilizar JavaScript para esto. Renderiza una entrada oculta con este "token". Luego, intercepte el evento click de cada enlace, agregue el valor "token" a la URL, luego navegue a la URL.

Puede mejorar el JavaScript para "procesar" su token de algún modo antes de usarlo, y minimizar su JavaScript para ofuscarlo ... esto definitivamente disuadiría incluso a los usuarios por encima del promedio de modificar sus URL.

Existen muchas soluciones posibles, pero la solución "correcta" realmente depende de qué comportamiento específico está tratando de evitar.

Answer 4

A continuación se muestra el código para el método NoDirectAccessAttribute para restringir el acceso directo a cualquier método de clase o acción que se aplica el atributo NoDirectAccess

using System; 
using System.Web.Mvc; 
using System.Web.Routing; 

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] 
public class NoDirectAccessAttribute : ActionFilterAttribute 
{ 
    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     if (filterContext.HttpContext.Request.UrlReferrer == null || 
        filterContext.HttpContext.Request.Url.Host != filterContext.HttpContext.Request.UrlReferrer.Host) 
      { 
      filterContext.Result = new RedirectToRouteResult(new 
          RouteValueDictionary(new { controller = "Home", action = "Index", area = "" })); 
     } 
    } 
} 

uso del filtro acción de la siguiente manera para cualquier método de control o acción en que don' t desea usuario solicitar directamente

[NoDirectAccess] 
public ActionResult IsUsernameUnique() 

En el ejemplo anterior, cualquier acceso directo al método de acción IsUsernameUnique redirigirá automáticamente al usuario el método de acción Inicio/Índice.

Answer 5

Utilice este código en Global.asax.cs y Call [NoDirectAccess] a todos los controladores

//Prevent direct URL access: Call [NoDirectAccess] to all controllers to block 
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] 
    public class NoDirectAccessAttribute : ActionFilterAttribute 
    { 
     public override void OnActionExecuting(ActionExecutingContext filterContext) 
     { 
      if (filterContext.HttpContext.Request.UrlReferrer == null || 
         filterContext.HttpContext.Request.Url.Host != filterContext.HttpContext.Request.UrlReferrer.Host) 
      { 
       filterContext.Result = new RedirectToRouteResult(new 
           RouteValueDictionary(new { controller = "Home", action = "Login", area = "" })); 
      } 
     } 
    }