ASP.NETおよびSQL Serverのセキュリティ問題

Question

2人のユーザーが同時にサービスシステムにログオンし、サービス一覧のgridviewを見ていると、問題が発生します。 user1がgridviewをフィルタリングする検索を実行し、user2が別のページをクリックした場合、user2はuser1が実行した検索結果を表示します。つまり、ある企業が他の企業のデータを見ることができます。

C＃/ ASP.NET 3.5で開発されたASP.NETアプリケーションです。データはSQL 2000データベースに格納され、ストアドプロシージャに大きく依存してデータを更新、選択、および削除します。ユーザーが表示できるデータに制限されている複数のユーザータイプがあります。たとえば、その会社に関連するデータしか見ることのできない会社の使用があります。

私が見たことから、セキュリティはフロントエンドのIf文によって処理されます。たとえば、userlevel = 1の場合、userlevel = 2の場合はこれを行います。これらのステートメントは、グリッドの列を表示または非表示にしたり、データを返すためにクエリを実行したり、必要なその他の制約を与えるために使用されます。企業ユーザーの場合、コードの背後にあるコードはユーザーに割り当てられたcompanyidを取得し、そのcompanyid（サービス、船舶など）に関連付けられたすべてのデータの結果を返すためにクエリで使用します。

これを修正するための推奨事項は高く評価されます。

Answer 1

実装の詳細を見ることなく言い表すのは難しいですが、表面には企業レベルのキャッシュがあるようです。 OutputCacheの設定、DataSource caching、明示的なキャッシングPage.Cacheなどを確認してください。

この記事は少し古いですが、ほとんどの情報はASP.NET 4.0でもまだ関連しているようです。

ASP.NET Caching: Techniques and Best Practices

Answer 2

あなたは置くことができ、そのスレッドでif文。スレッディングでは、1人のユーザーしかアプリケーションまたはグリッドビューにアクセスすることができません。 http://msdn.microsoft.com/en-us/library/ms173179.aspx

Answer 3

あなたの基本的なモデルは動作するはずです：

は、このリンクを参照してください。あなたが私たちに語ったことは、問題を診断するのに十分ではありません。 しかし、、私はいくつかの推測があります。ほとんどの場合、あなたのコードはUserIDまたはCompanyIDの値を混乱させるでしょう。

• セッションではなくキャッシュにCompanyIDを間違って保存していますか？
• CompanyIDは静的変数に格納されていますか？ Webアプリケーションの一般的な（そして悲惨な）落とし穴は、静的変数に格納された値がすべてのユーザーにとって同じままであることです。一般に、はasp.netアプリケーションで静的変数を使用しません。
• dbキャッシングまたは出力キャッシングが、セッションやその他の変数によって適切に変化しないことがあります。したがって、2番目のユーザーは、以前のユーザー用に作成されたものを表示します。何か起こっているキャッシュを停止し、それが修正されているかどうかを確認しますが、そこからデバッグしてください。
• 上記のテーマの他のバリエーション：クエリが静的変数に格納されている可能性があります。おそらく、これらのユーザー関連の値はキャッシュまたはdbに格納されますが、そのレコードのキー（UserID？）は静的変数に格納されますか？

Answer 4

jrummerllさんの回答に加えて、私たちのアプリのData Acces Layerをチェックし、静的変数が定義されていないことを確認してください。静的変数を定義すると、2つの競合する要求がたとえばCompanyIDの値を上書きする可能性があるため、この種の問題が発生する可能性があります。

Answer 5

結果をフィルタリングするために使用されるアプリケーション全体のサンプルコードを次に示します。 1人のユーザーがログオンしたときに他のユーザーがその結果を表示しないように、これを修正する最善の方法は何ですか？

は無効PopulategvServiceRequestListing（文字列_whereclause）会社のIDが格納されて {

_dsGlobalDatasource = new TelemarServiceRequestListing().GetServiceRequestListingDatasource(_whereclause); 
    if(_dsGlobalDatasource.Tables[0].Rows.Count!=0) 
    { 
     gv_ServiceRequest.DataSource = _dsGlobalDatasource; 
     gv_ServiceRequest.DataBind();   
    } 
    else 
    { 
     gv_ServiceRequest.DataSource=new TelemarServiceRequestListing().DummyDataset(); 
     gv_ServiceRequest.DataBind(); 
     gv_ServiceRequest.Rows[0].Visible = false; 
     gv_ServiceRequest.HeaderStyle.Font.Bold = true; 

    } 

}