Nouveau sur ASP.NET MVC - Devrai-je réapprendre la sécurité?

Question

Je prévois de travailler sur un nouveau projet et je suis maintenant tenté d'utiliser ASP.NET MVC. Mon projet prévoit d'utiliser JQuery et AJAX (bien que les clients non-JS soient également supportés). Venant d'un arrière-plan ASP.NET standard, j'essaie toujours de comprendre le paradigme MVC (avec beaucoup d'aide de Scott Guthrie). Cependant, ma principale préoccupation avec l'utilisation de MVC est les aspects de sécurité. J'ai fait pas mal de sécurité avec ASP.NET et je sais gérer différents vecteurs d'attaque. Aurai-je besoin de réapprendre la sécurité avec ASP.NET MVC? Y a-t-il de nouvelles menaces, ou même de nouvelles façons de gérer les vieilles menaces, sur lesquelles je devrai lire? J'ai commandé quelques livres ASP.NET MVC (qui ont des chapitres sur la sécurité), mais j'aimerais connaître l'expérience de quelqu'un d'autre à ce sujet.

Merci

Answer 1

dépend de ce que vous entendez par la sécurité.

L'autorisation est fondamentalement la même, sinon plus facile. L'authentification par formulaires est prise en charge et encouragée. Il suffit de coller un attribut [Authorize] sur les contrôleurs ou les actions du contrôleur. Pas trop pour apprendre là-bas.

ViewState a disparu, vous n'avez donc pas besoin de vous soucier de la validation de ViewState ou de tout ce qui concerne kludge.

Si vous faites référence à XSS, je dirais que c'est à peu près la même chose; vous avez besoin pour échapper à vos données sur la sortie et il est très facile à faire:

<%= Html.Encode(Model.SomeString) %> 

La seule chose que je peux penser que vous pourriez trouver un peu différent est la manipulation CSRF/XSRF. Heureusement, la plus grande partie est déjà built in to the framework. Donc, dans l'ensemble, je dirais que non, la courbe d'apprentissage pour la sécurité dans ASP.NET MVC ne devrait pas être aussi raide que la courbe d'apprentissage pour l'architecture elle-même.