ASP.NETでAJAXリクエストを保護する方法は？

Question

グリッド内に商品を表示するアプリケーションを開発しています。グリッドには無効/有効アイコンを持つ列があり、そのアイコンをクリックすると、AJAXを介してその特定の製品を有効/無効にするためのページmanageProduct.aspxへのリクエストが発生します。私は、パラメータとしてのproductIDを渡していますので、誰か（プロのハッカーやウェブ開発者）が入手しやすいである（このURLを取得することができれば、最終的なAjaxのクエリは、

今

http://example.com/manageProduct.aspx?id=234 

ようである私のAjaxのリクエストで

私のjavascriptファイルから）、彼はループとして実行され、すべての私の製品を無効にするスクリプトを作ることができます。

誰かがそのページを直接実行しようとすると、エラー（適切なメッセージ「あなたは許可されていません」など）を返すメカニズムや手法、そうでなければ、ページが希望のページから実行された場合、どこに商品リストが表示されているのかなど、正しく表示されます。

基本的に私はAJAX要求を保護するために誰も直接実行できません。 PHPで

：

PHPの私の同僚は、ページのrefrerをチェックして、このPHPページを確保します。以下のように：

$back_link = $_SERVER['HTTP_REFERER']; 

if ($back_link =='') 
{ 
    echo 'You are not authorized to execute this page'; 
} 
else 
{ 
    //coding 
} 

どのようにASP.NETで同じまたは異なる他はなく、安全なtechique（C＃の）に教えてください、私は、Ajaxリクエストを作成するための私のアプリではjQueryを使用しています。彼らは簡単に詐称することが可能と何をするにしても

おかげ

Answer 1

は、「HTTP_REFERER」のようなHTTPヘッダーに依存しないでください。

Answer 2

リファラーの使用については忘れてください。偽造は簡単です。要求が直接行われているのか、それとも何か他のものに対する応答であることを確実に伝える方法はありません。

URLを要求して不正なユーザーがシステムに影響を与えないようにするには、承認レベル（HTTP基本認証またはCookieで実装されているパスワードシステムなど）を判断するためにスマートなものが必要です。

Answer 3

あなたのユーザがログインしていることをサービスにチェックインする必要があります。安全なログインシステムを作成することは簡単ではありませんが、それはあなたがしなければならないことです。

また、逐次製品IDを使用しないでください。uniqueidentifierを使用してください。表示する整数製品idを使用できますが、説明したような他の用途ではproduct uniqueidentifier/guidを使用します。