ReturnUrl dans ASP.NET MVC

Question

J'ai actuellement un lien de connexion sur mon application qui ressemble à ceci:

<a href="/login?ReturnUrl=" + <%= Request.RawUrl %>>Login</a> 

Je veux gérer la commande POST sur la page de connexion dans l'action du contrôleur ci-dessous:

[AcceptVerbs(HttpVerbs.Post)] 
public ActionResult Login(string returnUrl) 
{ 
    // Authenticate user 

    return Redirect(returnUrl); 
} 

le problème ici est de savoir si le RawUrl est quelque chose avec plusieurs paramètres d'URL comme « somepage? param1 = 1 & param2 = 2 & param3 = 3 », le returnUrl qui est passé dans l'action de connexion est tronquée après la première esperluette: "une page? p aram1 = 1 ".

J'ai essayé UrlEncoding RawUrl mais cela semble faire une différence. Il semble que le framework ASP.NET MVC est ici UrlDecoding les paramètres url avant de les mapper aux paramètres d'action du contrôleur, ce qui finit par enlever les paramètres d'URL supplémentaires que je veux voir dans mon paramètre returnUrl.

Y a-t-il un moyen de contourner ce problème? Je sais que je pourrais juste utiliser Request.Path et analyser les valeurs dont j'ai besoin, mais j'ai pensé que je verrais d'abord s'il y avait une approche plus propre.

Answer 1

Vous avez probablement mal codé les liens. Oui, ils doivent être encodés. Voici comment nous le faisons:

<a href="<%= Url.Action("Delete", "TimeRecord", 
    new RouteValueDictionary(new { id = timeRecord.AltId, 
    returnUrl=ViewContext.HttpContext.Request.Url.PathAndQuery })) %>"> 

Answer 2

D'accord, votre solution a une odeur; Je ne peux pas mettre le doigt sur un lien décrivant l'attaque (il doit s'agir d'un détournement de session), mais rediriger aveuglément via une chaîne de requête doit être un trou de sécurité. Quelqu'un répond ou commente avec l'info, pls. Sans tenir compte de l'aspect de sécurité, une solution rapide serait de coder Base64 l'URL de retour entière. Voici un code que je complètement ganked de a blog qui peut ou peut ne pas fonctionner:

public static string ToBase64(this HtmlHelper me, string toEncode) 
{ 
     byte[] toEncodeAsBytes 
      = System.Text.ASCIIEncoding.ASCII.GetBytes(toEncode); 
     string returnValue 
      = System.Convert.ToBase64String(toEncodeAsBytes); 
     return returnValue; 
} 

public static string FromBase64(this HtmlHelper me, string encodedData) 
{ 
     byte[] encodedDataAsBytes 
      = System.Convert.FromBase64String(encodedData); 
     string returnValue = 
     System.Text.ASCIIEncoding.ASCII.GetString(encodedDataAsBytes); 
     return returnValue; 
} 

Answer 3

Assurez-vous de l'URL encode la RawUrl avant de l'utiliser.

<%= Url.Encode(Request.RawUrl) %> 

Cela devrait le faire pour vous.