POST->セッション - >ページはどのように扱いますか？ ASP.NET

Question

私はユーザーからフォームを送信しています。もし私のスパムフィルターがキャッチしたら、ユーザーをキャプチャページにリダイレクトして、ボットではないことを確認します（reCaptchaはまだ壊れていないようです）。

私の質問は、元のページに戻るのをどうやって処理するのですか？

私は乱数を生成することができました（その番号の現在のセッションタグがあるかどうかを確認してください）、すべてのPOSTデータをオブジェクトにプッシュし、オブジェクトをses [randomId] = obj; GETデータ（？sesTag = randId）にIDを追加し、ユーザーがcaptchaを正しく渡したときにsesから取得データを取得します。これは良い解決策ですか？オブジェクトをセッションに入れることに問題がありますか？

投稿データを辞書にプッシュするにはどうすればよいですか？すべてのデータをdictにプッシュするforeachループを書くことができますか？または私はメモリを食べるのに十分なオブジェクトを取得しますか？ （私は多くのキーを持っているHttpContext.Current.Request.Paramsを押しています）

Answer 1

これは良い解決策ではありませんが、使用する必要がある場合Request.Paramsをセッションに格納します。

Request.Params（またはRequest.Form）はNameValueCollectionです。これはシリアル化可能であるため、out-of-procセッション状態を使用していても問題なくセッションに格納する必要があります。 IOW、あなたは別の辞書にデータを引き出す必要はありません。

Answer 2

元のページにキャプチャを配置して悲しみを救うのはなぜでしょうか？

Answer 3

任意のパラメータを保存したり、処理したりしないでください。ユーザの投稿データを受け取るページは、どのパラメータを期待するか、どのフォーマットにするかを正確に把握しておく必要があります。

まず、それぞれの期待されるパラメータを検証し、検証がパスした場合 - スパムロボット基準を除いて - 検証されたパラメータを使用して、そのオブジェクトをセッションに保存します。キャプチャが成功すれば、それを取り戻すことができます。

あなたのコメントに応答して、編集

：セキュリティPOVから、あなたが高すぎるレベルで、建築家にあなたの関数をしようとしています。 「地元の知識」を持たないことで、選択肢はありませんが、セキュリティ上の問題を解決することができます。メソッド呼び出しをより低いレベルで導入する方法について考えてみましょう。

はここで緩く例を働いています：

は、各ページ/コントローラ/アクション/何でも、各アクションは、あなたのスパムボットフィルタを呼びましょう、（唯一のローカルコードは、それが自分のデータだ検証する方法を知っている）最初に自分のデータを検証してみましょう/リダイレクトコンポーネント/メソッドを使用して、スパムチェックする必要があるフィールド名と一緒に保持する有効なフォームデータを渡します。

あなたの方法では、潜在的な問題フィールドをスパムチェックし、データを保持して、re-captchaにリダイレクトすることができます。

擬似コードでは、スパムチェックが必要な各Webアクションでは、以下のようなことができます。 1つのメソッドコール などが必要です。

void someAction(untrustedData) { 
    trustedData = object; 
    trustedData.id  = makeInt(badData.id); 
    trustedData.name = safeCharsOnly(untrustedData.name); 
    trustedData.message = safeCharsOnly(untrustedData.message); # <-- spam-check this 

    fieldsToSpamCheck = ['message']; 
    successUrlBase = '/myapp/sandwiches/postMessage'; 

    if (!spamChecker.check(trustedData, fieldsToSpamCheck, successUrlBase)) { 
    // spamChecker will check specified params 
    // if not spam, it returns true 
    // if spam it sets a http redirect and returns false 
    return; 
    } 

    processData(trustedData); 

}