ASP.NET Webフォームイベントセキュリティ

Question

イベントサーバー側を呼び出してユーザーを削除するボタン（btnDeleteUserと呼びます）があります（DeleteUser()と呼ぶことができます）。ユーザーが管理者の場合はbtnDeleteUser.Visible = trueと設定し、デフォルトではfalseと設定します。私の理解は、.Visibleプロパティはボタンがユーザに全くレンダリングされないようにしているということです。ハッカーがまだDeleteUser()イベントを発した可能性はありますか？おそらくPOSTデータをなりすましていますか？それとも.NETは何とかそれをキャッチしますか？

私はASPを使用してい

...私はここでのベストプラクティスは何も前にDeleteUser()に再びユーザーの資格情報をチェックすることだと思うが、これは最初の場所でも、可能であれば私は好奇心が強いです.NET 4.0 Webフォーム（MVCではなく）。

Answer 1

これを偽装することは可能ですが、イベント検証（MVCではなくWebFormsを使用していると仮定します）がそれをキャッチする必要があります。

リストにオプションを追加して選択するなど、クライアントサイドで作業している場合、リストには元のコンテンツがないためイベント検証がエラーになるため、彼らの生活が楽になります。

イベントの検証を有効にしておいても、徹底的な防衛戦略と役割のチェックが必要です。