首页 > > 网络编程 > Asp.Net编程 >

ASP.NET MVC应用安全性(一)——自定义错误处理

2018-06-22 06:19:22来源：未知阅读 ()

很多 ASP.NET MVC 开发者都会写出高性能的代码，很好地交付软件，等等。但是却并没有安全性方面的计划。

有一种攻击是攻击者截获最终用户提交的表单数据，将其改变再将修改后的数据发送到服务器。

对于这种情况，开发者需要进行适当的验证，不过验证显示的大量错误信息中可能会泄漏服务器信息。

如常见的404页面和500页面（俗称黄页）：

解决方法：

先关闭自定义错误，将Web.config配置文件中customErrors节点的mode设置为Off

1 <system.web>
2     <customErrors mode="Off"></customErrors>
3     <compilation debug="true" targetFramework="4.5"/>
4     <httpRuntime targetFramework="4.5"/>
5   </system.web>

在GlobalFilter全局过滤器中取消HandleErrorAttribute的注册

1     public class FilterConfig
2     {
3         public static void RegisterGlobalFilters(GlobalFilterCollection filters)
4         {
5             //filters.Add(new HandleErrorAttribute());
6         }
7 
8     }

Global.asax文件并添加Application_Error事件代码

 1         protected void Application_Error(Object sender, EventArgs e)
 2         {
 3             Exception exception = Server.GetLastError();
 4             if (exception != null)
 5             {
 6                 HttpException httpException = exception as HttpException;
 7                 if (httpException != null)
 8                 {
 9                     int errorCode = httpException.GetHttpCode();
10                     if (errorCode == 400 || errorCode == 404)
11                     {
12                         Response.StatusCode = 404;
13                         Response.Redirect(string.Format("~/Error/Error404"), true);
14                         Server.ClearError();
15                         return;
16                     }
17                 }
18 
19                 var postData = string.Empty;
20                 try
21                 {
22                     using (System.IO.Stream stream = Request.InputStream)
23                     {
24                         using (System.IO.StreamReader streamReader = new System.IO.StreamReader(stream, System.Text.Encoding.UTF8))
25                         {
26                             postData = streamReader.ReadToEnd();
27                         }
28                     }
29                 }
30                 catch { }
31 
32                 //该方法为写错误日志和发送错误邮件给开发者的方法（可忽略）
33                 LogCache.Instance.saveToLog(Request, AppDomain.CurrentDomain.BaseDirectory + @"\privateFolder\SysLog\Error\", DateTime.Now.ToString("yyyyMMddHH") + ".log", postData, exception.ToString());
34 
35                 Response.StatusCode = 500;
36                 Response.Redirect(string.Format("~/Error/Error500"), true);
37                 Server.ClearError();
38             }
39         }

添加自定义的404、500页面

最终实现效果：

使用应用程序全局错误的一些优势：

第一点就是兼容性好，Web Form和MVC中都可以通用，如果旧的Web Form项目中是使用Application_Error处理全局异常，那么在新的MVC项目就可以很容易移植过来！此外灵活性也比较高，相比ASP.NET自带的自定义错误以及MVC的HandleError特性，可以更加自由的编写灵活的业务代码。

另外可以根据需求设定HTTP错误码，这方面也是考虑到一个SEO的问题，毕竟ASP.NET的自定义错误机智是使用302重写跳转，并不有利于SEO。虽然customErrors节点的redirectMode属性可以设置为"ResponseRewrite"（重写），但是如果在跳转的页面上不设置HTTP错误码，则HTTP状态码为200。