Forum
Aktif konular
Üyeler
Kurallar
Arama
Asp.Net Mvc CSRF Koruması ? Asp.Net Mvc CSRF Koruması ?
-
Hannibal_King bunu yazdı
https://msdn.microsoft.com/en-us/library/dd492767(v=vs.118).aspx burdaki linkte AntiForgeryToken metodunun salt değer alan override larına obsolete demişler.Eskimiş değil mi?
XSS içinde kullanıcıdan veri alırken zaten mvc default olarak tehlikeli karakterleri engellemiyor mu? Ekstra olarak neler yapıyorsunuz hocam XSS için?
evet artık kaldırmışlar.
XSS için https://dzone.com/articles/preventing-xss-aspnet-made
AntiXSS artık framework ile birlikte geliyor amma yinede ekstra önlemler ala bilirsin yukardakı makele bir koç yol izlenilmiş.
-
Ben MVC yazarken ekstra önlem almıyordum. AntiXSS otomatik olarak önlüyordu. Bu konuda Stackoverflow'da adamın biri güvenlikçiden daha iyi bir güvenlikçi olmadıkça ekstra güvenlik önlemi alma çabasının yeni bi güvenlik açığı oluşturbileceğinden bahsetmişti ve mantıklıydı. Şu aşamada konusunda bizden daha uzman kişilerin yazdığı bir kodu kullanıp onlara güvenmeyi tercih ederim. XSS konusunda en büyük problemi bence WYSIWYG HTML Editor kullanılan durumlar oluşturuyor.
-
WYSIWYG HTML Editor falan kullanmıyorum sırf bu yüzden hocam.O zaman ekstra bişey yapmaya gerek yok heralde.Cevaplarınız için teşekkürler.Ama validateforgerytoken ı kullanın bence hocam same-origin policy tek basına yeterli olmuyo demişler 1-2 yerde.Yinede asp.net mvc ve xss,csrf ile falan yazmak isteyen arkadaslar yazarsa buraya güzel olur.
-
bu konudan görüp bende bir kaç forma validateforgerytoken ekledim :)
-
Ben veri ekleme/silme/güncelleme yaptırdığım ekranlarda mutlaka koyuyorum hocam. Ancak verileri listelediğim yerlere koymuyorum.Zaten dönen sonucu göremez yazmışlar zaten dönen sonuçları görmesi cok onemlı değil bence önemli olan kullanıcıya haberı olmadan bişey eklettirmesin.
Kısayol
Şikayet
Özel Mesaj
Alıntı yap
Cevapla