问URL中包含敏感数据的ASP.NET MVC受保护成员区域

EN

我要说的是，不要在URL中使用敏感数据，并将帐号存储在用户会话中(如果假设有多个帐号，则只保留当前帐号)。

编辑

查看您的编辑后：

如果您真的想要一种安全的方法来实现这一点，而客户端又不知道通过页面的URL，那么可以考虑这个场景。

• User has multiple accounts
• Account are link on the page
• 帐户"ID“是使用当前会话id进行加密的，用户单击该链接后会转到该链接

现在你的帐户ID不再可见，加密密钥只对该会话和该ID有效。授予的会话ID可能并不总是唯一的，但这将对历史/缓存中的“查看器”造成巨大的威慑。

不要使用HTTP GET来请求敏感数据。请改用HTTP POST。将[AcceptVerbs(HttpVerbs.Post)]放在您的ActionResult上以确保安全。

同样，不要使用HTTP get来获取将在AJAX请求中使用的数据，因为有一个subtle JSON vulnerability。

我也有过类似的issue...still想法，认为最好的solution...but实现了汤姆的解决方案。一个附带的问题是，对于mvc，url必须是“友好的”。HtmlEncode不能工作，因为它允许/的。Base64可以使用以下助手方法：

public static string Base64ToUrlFriendlyBase64(string value)
{
    return value.Replace("/", "_").Replace("+", "-");
}

public static string UrlFriendlyBase64ToBase64(string value)
{
    return value.Replace("_", "/").Replace("-", "+");
}