¿Qué 'información confidencial' podría revelarse al configurar JsonRequestBehavior en AllowGet

Recibo el mismo error de siempre cada vez que pruebo un nuevo URLdesde la barra de direcciones de mi navegador cuando estoy returning Json(usando el integrado MVC JsonResult helper):

Esta solicitud se ha bloqueado porque la información confidencial podría divulgarse a sitios web de terceros cuando se utiliza en un GET request. Para permitir GET requests, establezca JsonRequestBehavioren AllowGet.

En lugar de gruñir en reconocimiento y encender Fiddler para hacer una solicitud de publicación, esta vez, me pregunto exactamente qué es lo que GETexpone una POSTsolicitud que una solicitud no.

Supongamos que su sitio web tiene un GetUsermétodo web:

http://www.example.com/User/GetUser/32

que devuelve una respuesta JSON:

{ "Name": "John Doe" }

Si este método acepta solo solicitudes POST, entonces el contenido solo se devolverá al navegador si se realiza una solicitud AJAX http://www.example.com/User/GetUser/32mediante el método POST. Tenga en cuenta que, a menos que haya implementado CORS , el navegador protegerá los datos de otros dominios que realicen esta solicitud al suyo.

Sin embargo, si permitió las solicitudes GET, además de realizar una solicitud AJAX similar a la anterior con GET en lugar de POST, un usuario malintencionado podría incluir su JSON en el contexto de su propio sitio mediante el uso de una scriptetiqueta en el HTML. por ejemplo, en www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Este JavaScript debería ser inútil www.evil.comporque no debería haber forma de leer el objeto devuelto por su método web. Sin embargo, debido a errores en las versiones antiguas de los navegadores (por ejemplo, Firefox 3), es posible redefinir los objetos prototipo de JavaScript y hacer posible la www.evil.comlectura de los datos devueltos por su método. Esto se conoce como secuestro de JSON.

Consulte esta publicación para conocer algunos métodos para prevenir esto. Sin embargo, no es un problema conocido con las versiones posteriores de los navegadores modernos (Firefox, Chrome, IE).

en su devolución utilice lo siguiente:

return this.Json("you result", JsonRequestBehavior.AllowGet);

De forma predeterminada, el marco ASP.NET MVC no le permite responder a una solicitud GET con una carga útil JSON, ya que existe la posibilidad de que un usuario malintencionado pueda obtener acceso a la carga útil a través de un proceso conocido como secuestro de JSON. No desea devolver información confidencial utilizando JSON en una solicitud GET.

Si necesita enviar JSON en respuesta a un GET y no está exponiendo datos confidenciales, puede permitir explícitamente el comportamiento pasando JsonRequestBehavior.AllowGetcomo un segundo parámetro alJson método.

Como

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Aquí hay un artículo interesante de Phil Haack JSON Hijackingsobre por qué no usar Json con el método GET

Cuando queremos devolver un objeto json al cliente desde la aplicación MVC, debemos especificar explícitamente JsonRequestBehavior.AllowGet al devolver un objeto. Como resultado, devuelvo los datos json de la siguiente manera para solucionar el problema:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Debe usar JsonRequestBehavior.AllowGet para la respuesta Json de esta manera:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Éxito", JsonRequestBehavior.AllowGet)