безопасности ASP.NET MVC при вызове действия непосредственно

Question

У меня есть контроллер называется счет и действие под названием AddFunds()

В моем HttpGet Addfunds() действия возвращает вид привязку к ViewModel с ACCOUNTID свойство, поэтому по умолчанию представление содержит скрытое поле AccountId.

в действии HttpPost AddFunds(), я получил обновленный ViewModel, с тем же AccountID, как проходил методом HttpGet, с некоторыми другими параметрами, такими как количество и т.д.

Что я могу сделать чтобы человек не вызывал метод, напрямую передающий поддельный аккаунт?

Предотвращает ли токен AntiForgery? Любая другая мера, которую я должен взять?

Как побочный вопрос, можно ли пропустить идентификатор учетной записи в скрытом поле или необходимо знать, с какой сущностью я действую?

Благодаря

Answer 1

Первое - вы действительно должны избегать использования скрытых полей для данных/идентификаторов, которые собираются быть переданы к действию контроллера и представляют собой реальные и, возможно, важные данные.

Если вас беспокоит пользователь, которому предоставляется возможность манипулировать идентификатором, вы должны ввести не детерминированный идентификатор (например, GUID).

Флаг анти-подделки используется для предотвращения атаки CSRF.

Answer 2

Вы можете зашифровать идентификатор, когда передаете значение для отправки сообщения и дешифруете этот идентификатор в методе post, где бы он ни требовался.

Ваш URL будет: локальный: 3040/дом/редактировать AccountId = hkdshjlk89890-32 (encryptedid)

Или вы можете использовать base64 кодирования и декодирования (я не буду рекомендовать base64, потому как каждый один декодировать стоимость).

Другое решение, которое вы можете увидеть ниже ссылку Only allow access to action if redirected from specific action