asp.net - 为什么ASP.NET Identity中的注销使用POST而不是GET？

This question already has answers here:

Logout: GET or POST?

(9个答案)

已关闭6年。

sample Identity project使用它注销:

@if (Request.IsAuthenticated) {
  using (Html.BeginForm("LogOff", "Account", FormMethod.Post, new { id = "logoutForm", @class = "navbar-right" })) {
    @Html.AntiForgeryToken()
    <ul class="nav navbar-nav navbar-right">
       <li>@Html.ActionLink("Hello " + User.Identity.GetUserName() + "!", "Index", "Manage", routeValues: null, htmlAttributes: new { title = "Manage" })</li>
       <li><a href="javascript:document.getElementById('logoutForm').submit()">Log off</a></li>
    </ul>
  }
}

并且AccountController.LogOff()操作方法具有[HttpPost]。

我能想到的使用POST而不是GET的唯一原因是[ValidateAntiForgeryToken]。我看不出这样做的目的，我们要做的只是注销。

当然这是矫kill过正吗？为什么不使用常规的GET链接？

最佳答案

原因很简单，任何影响用户 session 状态的事情都不应该是get操作。 Get操作只能用于idempotent操作(即，多次调用具有相同的效果，并且不会更改状态)。

如果您考虑一下，原因应该很明显。浏览器可以自由缓存，甚至可以预取获取url(许多现代浏览器都可以做到这一点)。您不希望浏览器意外注销您，因为它正在预获取获取链接。

现在，对于给定的代码，这不再是问题，因为我认为浏览器不会预取与JavaScript关联的链接(尽管我可能错了)。

更大的问题是，如果注销是一项获取操作，那么任何未经过滤的用户发布数据都可能导致注销。例如，假设您的网站上有一个论坛，并且允许发布图像。假设某人在src="http://url-to-log-off-the-site"上发布了图片，这可能会造成很多破坏，因为如果没有注销您甚至无法查看该页面以将其删除。

另外，在给定的示例中，有一个用于防伪 token 的表单字段，该表单字段将被编码到GET中的URL中。您不想这样做。

您认为使用防伪 token 是过大的，是因为您不了解防伪 token 的用途。它们旨在防止攻击者接管您的 session ……并且您不希望攻击者将您注销(不要天真地认为您的站点不足以进行攻击，自动bot会漫游互联网，而不管您的网站有多重要)。

关于asp.net - 为什么ASP.NET Identity中的注销使用POST而不是GET？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/25710805/

上一篇：intellij-idea - 如何在 IntelliJ 中禁用谷歌快捷方式中的搜索？

下一篇：jetbrains-ide - 使用 JetBrains DataGrip - 我在哪里可以找到函数？

相关文章：

javascript - jquery的checkboxlist显示复选框

带有标准 ASP.NET 控件的 jQuery 日期选择器

jquery 完整日历不显示事件

javascript - 如何在mvc的部分 View 中调试javascript

asp.net-core - ASP.NET Core Google Auth 用于具有单个回调 url 的 Multi-Tenancy 应用程序？

c# - 外部身份验证不重定向到外部站点

javascript - 按钮单击 jquery 函数时，html 表响应未显示在 MVC View 中

asp.net - 使用 LDAP 的 Active Directory 成员资格提供程序

asp.net-mvc - 命名空间更改 - 发现多个类型与名为 'Home' 的 Controller 匹配

asp.net-mvc-5 - 存储未实现 IUserLockoutStore<TUser>