2

Estou construindo uma aplicação asp.net MVC e faço muitas chamadas à actions e webservices via ajax (jquery ou angularjs). Como poderia esconder essas chamadas, ou garantir que sejam feitas apenas pela minha aplicação?

Por exemplo:

    $('#btnNext').click(function () {    
        $.ajax({
            url: "/Home/Next",
            type: "POST",
            data: JSON.stringify({ 'Options': someData}),
            dataType: "json",
            traditional: true,
            contentType: "application/json; charset=utf-8",
            success: function (data) {
                if (data.status == "Success") {
                    alert("Done");
                } else {
                    alert("Error occurs on the Database level!");
                }
            },
            error: function () {
                alert("An error has occured!!!");
            }
        });
    });

Dessa forma meu código esta muito exposto. Qualquer pessoa que acessar o fonte poderá chamar minhas actions e webservices sem minha permissão e obter dados do meu negocio além de carregar o servidor fazendo inúmeras requisições.

2
  • No HomeController você não tem como saber se o usuário está logado? Se estiver, o ActionResult Next retorna, caso contrário, não. Commented 22/01/2016 às 13:04
  • Não tenho como saber se o usuário esta logado pois seria em uma área aberta do sistema Commented 22/01/2016 às 13:33

1 Resposta 1

2

Implementando o seguinte atributo:

public class PermitirCrossSiteJsonAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        filterContext.RequestContext.HttpContext.Response.AddHeader("Access-Control-Allow-Origin", "*");
        base.OnActionExecuting(filterContext);
    }
}

Repare que isso permite que a origem da requisição seja qualquer uma, porque usei "*".

Para permitir apenas pelo seu site, troque "*" pelo endereço do seu site.

Decore a Action:

[PermitirCrossSiteJson]
public ActionResult Next()
{
    return Json("Sou um JSON protegido", JsonRequestBehavior.AllowGet);
}

Dá pra usar no Controller também:

[PermitirCrossSiteJson]
public class HomeController : Controller
{ ... }

Suporte ao IE9 ou inferior?

Instale este pacote NuGet.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .