データベースIDをUIに公開する

Question

これは、Webフォームオーバーデータソートの初心者のパターンの質問です。私はExposing database IDs - security risk?を読んで、これは時間の無駄だと思っていますが、待ちます...

私はビジネスロジックライブラリを参照しているMVCプロジェクトと、それを参照するNHibernate SQLリポジトリのアセンブリを持っています。何かが私の手を動かしてコントローラのコードベースからそれらのリポジトリを直接参照すると、何がうまくいかなかったのか分かります。しかし、これらのコントローラがデータベースレコードIDを持つURLパラメータで話す場合、だけがと思われますか？

（MVCアクションによって）消耗していないIDは考えられません。私はしません私は今までデータベースの同じ行に対応する2つのUIエンティティを必要と思います。コントローラーがIDを解釈するつもりはありません。サロゲート・キーを使用すると、差異はゼロになります。しかし、私はこの問題を抱えています。なぜなら、合理的な設計についての前提は、層スキップ依存関係よりも優れていないからです。

ビジネス・ロジック・アセンブリのみを参照し、そのセッションの意味しか持たないBLオブジェクトおよびGUIDのみで、アセンブリがデータベースIDを使用してトランザクションを持続する間、Webアプリケーションをどのように作成しますか？

Answer 1

必要に応じてIDをハッシュすることができます。セッションIDを塩として使用する。それは文脈によって異なります。あなたがカタログページを簡単にコピー可能にしたい公共のショッピングサイト。ユーザーアカウント管理者はIDを暗号化しても問題ありません。そのため、ユーザーは他のユーザーのアカウントをハッキングすることはできません。

私はこのことをあいまいさではないと考えています。悪意のあるユーザーが1つの侵害されたアカウントを持っている場合、そのユーザーとしてログインしている間に設定されたすべてのフォームフィールド、URL ID、およびCookie値を見ることができます。その後、別のユーザーとしてログインしてアクセス許可をエスカレートするときにそれらを使用することができます。しかし、セッションIDを塩として使用してそれらを保護することによって、そのデータをロックしているので、1つのセッションでのみ有用です。ページはブックマークできません。彼らはあなたの保護を理解できましたか？おそらく。しかし、おそらく彼らは別のサイトに移動するだろう。車のドアをロックしても、車に乗りたい人は車の中にいるわけではありませんが、誰でもやります。

Answer 2

私はセキュリティの専門家ではありませんが、商品ID、ユーザーIDなどの特定のIDをユーザーに公開するのに問題はありません。その製品IDを表示することは問題ではありません。

トランザクションIDのようにユーザーが直接的にやりとりしないシステムの内部にあるものは、ユーザーに表示されず、何らかの形で編集することを恐れず、情報ではないためですそれらに有用である。

フォームでは、「mysite.com/messages/view/5」というアクションポイントがあります。ここでは5が表示されます。 これらの操作のすべてでは、簡単なデータベースチェックを行い、ログインしているユーザーがメッセージの所有者と同じであることを確認することにより、ユーザーがそのユーザーにアクセスできるようにします（変更または削除する機能は必要です）。

Answer 3

ほとんどのシステムでIDが実装の詳細に過ぎないと言う人がいますが、ドメインエンティティを一意に識別する方法が必要であり、その識別子のIDを生成する可能性が最も高いと考えられます。 IDがであることは、データベースによってが生成されたことを意味します。一度生成されると、ドメインエンティティの属性になります。したがって、エンティティを参照する必要がある場合はいつでも、それを使用することができます。

Answer 4

パラメータを改ざんするとデータが変更される可能性がありますので、非常に注意してください。これらのIDを公開する際には、「誰が何idsにアクセスできるか」に関するルールをアプリケーションに非常に慎重に組み込む必要があります。

たとえば、OrderIdに基づいて注文を更新する場合は、次のようにloadおよび更新のwhere句に含めます。 where order.orderid = passedInOrderId and Order。CustomerId =

私はここに利用できるMVCで保存されたIDSを支援する拡張機能を開発しました：

http://mvcsecurity.codeplex.com/

また、私はこれについての私のセキュリティコースで少し話で：あなたが暗号化できるHack Proofing your ASP.NET MVC and Web Forms Applications

Answer 5

これらの回答以外にも、わかりやすいIDを使用するとよい場合があります。そのため、ユーザーは必要な情報のURLをハックすることができます。たとえば、www.music.com \ artist \ acdcまたはwww.music.com \ arist \ smashing-pumpkinsなどです。ユーザーにとって意味があり、ユーザーがページからURLを通じて理解できる情報を増やすことができれば、すべての方がより優れています。特に、マーケットセグメントが若くてテクノロジーに精通している場合は、IDを活用してください。これはまたあなたのSEOを高めるでしょう。 私はそれが使用されていないときは、それをエンコードすると言うでしょう。顧客IDをセッションに対してチェックしないで、顧客ベース全体を公開するのは、開発者一人だけの間違いです。

もちろん、あなたの単体テストはそれを捕らえるべきです！