MVC RESTful Urlsをハッキングから保護する方法は？

Question

私はシティグループハッキング事件 http://www.nytimes.com/2011/06/14/technology/14security.html?_r=2&pagewanted=1&ref=technology

これは私が考えるようになった上で、最近、興味深い記事を読んで、私は100,000行と私のデータベース内の機密従業員データのテーブルを持っていると言います。このテーブルには、IDというプライマリキーがあります。これはID列です。

従業員はWebポータルにログインでき、その詳細はRESTfulなURL（{コントローラ}/{アクション}/{Id}）を介して取得されます。/Employee/Details/31

ここで、{Id}パラメータ（たとえばId = 32）と{ の従業員＃32のパラメータの{Id}パラメータの置き換えを中止するにはどうすればよいですか。これはCitiGroupで何が起こったのですか？

どうしますか？つまり、ユーザーがWebポータルですでに認証されている場合 他のユーザーのレコードを表示する権限がありません。 Id以外にも のお客様に別の特定の「トークン」を使用する必要がありますか？

Answer 1

これは私が、まったく同じような状況のためにした最初の私はオブジェクトへの拡張を宣言したものです： あなたはクラスここでの役割についての詳細な情報を見つけることができますコントローラ内：

Answer 2

ASP.NETロールとメンバーシップAPIを使用することをお勧めします。もしあなたがすでにそれをしているのであれば、起動するために必要なことはコントローラにIsUserInRoleチェックを付けることです。

public static bool Editable(this EXPENSE_OBJ e) 
{ 
    if (e != null) 
    { 
     UserRepository ur = new UserRepository(); 

     if (ur.CurrentUser().UserId == e.UserId) //Check if the user owns the claim 
     { 
      return true; //User owns the claim 
     } 
     else 
     { 
      return false; //User does not own the claim 
     } 

    } 
} 

そして：

MSDN Roles Class

Answer 3

私は、ユーザーとエンティティのIDの間の関係を保持する多対多テーブルを使用します彼らは変更することができます。誰かがそれらのエンティティの1つを変更しようとするたびに、私は彼らがそれを行うことが許可されていることを確認するチェックを行います。また、エンティティが削除されるたびに、その多対多テーブルの関連するレコードを削除するエンティティを保持するトリガをテーブルに配置します。これは私のために非常にうまくいきました。

もう1つのことは、主キーにintの代わりにGuidを使用することです。これにより、人々は主キーを推測できなくなります。