[转载]ASP.NET MVC: 使用自定义 ModelBinder 过滤敏感信息

baacloud免费翻墙vpn注册使用

[转载]ASP.NET MVC: 使用自定义 ModelBinder 过滤敏感信息 – 鹤冲天 – 博客园.

昨天发表了一篇随笔《ASP.NET MVC: 使用 Filters 附加过滤敏感信息功能》(以下简称《Filter过滤》),今天一早醒来发现一处重大漏洞,于是在发了一条评论指出存在问题,并希望有朋友能指正。可到现在也没见有朋友找出问题,索引再发一篇随笔,进行更正。

存在的漏洞

《Filter过滤》一文中使用的代码如下:

1 public class SensitiveWordsFilterAttribute: ActionFilterAttribute
2 {
3 public override void OnActionExecuting(ActionExecutingContext filterContext)
4 {
5 var parameters = filterContext.ActionDescriptor.GetParameters();
6 foreach (var parameter in parameters)
7 {
8 if (parameter.ParameterType == typeof(string))
9 {
10 //获取字符串参数原值
11 var orginalValue = filterContext.ActionParameters[parameter.ParameterName] as string;
12 //使用过滤算法处理字符串
13 var filteredValue = SensitiveWordsFilter.Instance.Filter(orginalValue);
14 //将处理后值赋给参数
15 filterContext.ActionParameters[parameter.ParameterName] = filteredValue;
16 }
17 }
18 }
19 }

问题在第8行,SensitiveWordsFilterAttribute 目前只能对字符串类型这样的简单数据进行过滤,没有考虑到复杂类型,对下面代码就则无法实现过滤:

1 public class ArticlesController : Controller
2 {
3 [HttpPost]
4 public ActionResult Create(Article article)
5 {
6 //
7 }
8 //
9 }

Article是一个自定义类:

1 public class Article: DomainModel
2 {
3 public int ID { get; set; }
4 public string Title { get; set; }
5 public string Content { get; set; }
6 public DateTime CreationTime { get; set; }
7 }

SensitiveWordsFilterAttribute 对自定义类型是不太好处理的,当然也有解决办法,如使用反射遍历访问Article的每一个字符串属性,进行过滤。

本文采用 ASP.NET MVC Model Binding 来实现目标。

ASP.NET MVC Model Binding

ASP.NET MVC中,我们可以使用下面的方式来接收用户提交的数据:

1 public class ArticlesController : Controller
2 {
3 public ActionResult Query(string title, DateTime? creationDate)
4 {
5 //
6 }
7 [HttpPost]
8 public ActionResult Create(Article article)
9 {
10 //
11 }
12 }

这得益于 ASP.NET MVC ModelBinding 特性。使用这个特性,我们无需再使用 Request.Form[“title”] 从 HTTP 请求中获取数据,也不需要再使用 DateTime.Parse() 或 DateTime.TryParse() 方法进行类型转换,也不再需要对实例的每一个属性逐一赋值。ModelBinding 特性将我们从这些无聊的低级工作中解放了出来,让我们专心去做高级的工作。

如上面代码所示,ModelBinding 既可以绑定简单数据类型,也可以绑定自定义类型,还可以绑定数组、集合、字典、二进制数据(byte[]),甚至还能用来接收文件上传。

ModelBinding 在绑定自定义类型时,还能够有选择的绑定指定属性或排除指定属性:

1 public ActionResult Create([Bind(Include = Name, Sex, Birthday)] Person person)
2 {
3 //
4 }
5 public ActionResult Create([Bind(Exclude = ID)] Person person)
6 {
7 //
8 }

ASP.NET MVC ModelBinding 的功能相当完善,实现也比较复杂,具体是由 DefaultModelBinder 类来完成的。对于一些特定功能(如本文中的敏感信息过滤)可通过扩展 DefaultModelBinder 类的功能来实现。

具有敏感信息过滤功能 ModelBinder

在面向对象的世界中,扩展功能最简单的方式就是继承。我们新建一个类 SensitiveWordsFilterModelBinder,继承自 DefaultModelBinder,重写 SetPropertyt 和 BindModel 方法,如下:

1 public class SensitiveWordsFilterModelBinder : DefaultModelBinder
2 {
3 protected override void SetProperty(ControllerContext controllerContext,
4 ModelBindingContext bindingContext, PropertyDescriptor propertyDescriptor, object value)
5 {
6 if (propertyDescriptor.PropertyType == typeof(string)/* && value is string*/)
7 value = SensitiveWordsFilter.Instance.Filter(value as string);
8 base.SetProperty(controllerContext, bindingContext, propertyDescriptor, value);
9 }
10 public override object BindModel(ControllerContext controllerContext, ModelBindingContext bindingContext)
11 {
12 var value = base.BindModel(controllerContext, bindingContext);
13 if(bindingContext.ModelType == typeof(string)/* && value is string*/)
14 value = SensitiveWordsFilter.Instance.Filter(value as string);
15 return value;
16 }
17 }

重写 SetProperty 方法(3~9行)用来对自定义类型进行敏感信息过滤:对自定义类型来说,数据绑定主要针对属性,所有属性绑定完成,自定义类型的实例也就绑定完成了。重写 SetProperty 就是在给 string 类型的属性赋值前,增加敏感信息过滤这一步操作。相对使用 SensitiveWordsFilterAttribute + 反射 的方式处理自定义类型,SensitiveWordsFilterModelBinder 更加合理,效率也要高些。重写 SetProperty 时,可以通过 bindingContext.ModelType.Name 获取所在类的名字,也可以通过 propertyDescriptor.Name 获取属性的名字,通过这两个名字,我们可以有选择的进行过滤操作,以提高效率。

重写 BindModel 方法(10~16行)用来对 string 类型进行敏感信息过滤,string 是简单数据库类型,对它进行绑定时不会调用 SetProperty 方法,因此要单独进行处理。

仅仅有这个 ModelBinder 是不够的,MVC不知道什么情况下使用它,因此我们还要进行配置,使 SensitiveWordsFilterModelBinder 生效。

配置使用 SensitiveWordsFilterModelBinder

方式一:直接在参数上使用
1 public ActionResult Create([ModelBinder(typeof(SensitiveWordsFilterModelBinder))]Article article)
2 {
3 return null;
4 }
5 public ActionResult Create([ModelBinder(typeof(SensitiveWordsFilterModelBinder))]string title,
6 [ModelBinder(typeof(SensitiveWordsFilterModelBinder))]string content, DateTime? creationTime)
7 {
8 return null;
9 }

使用这种方式比较“ugly”,尤其是 ModelBinder 名字比较长的时候。这种方式的最大缺点是需要对每个参数进行标记。

方式二:标记在 Model 上
1 [ModelBinder(typeof(SensitiveWordsFilterModelBinder))]
2 public class Article: DomainModel
3 {
4 //
5 }

这种比较不错,只需在 Article 类上标记一次,所有 Controller 中的 Action 的 Article 类型的参数都将使用 SensitiveWordsFilterModelBinder。

但这种方式仅对自定义类型有效,对系统定义的类型,如:string,我们是很难给它加上 Attribute 的。

方式三:在 Global.asax.cs 文件中处理:
1 protected void Application_Start()
2 {
3 ModelBinders.Binders.Add(typeof(Article), new SensitiveWordsFilterModelBinder());
4 ModelBinders.Binders.Add(typeof(string), new SensitiveWordsFilterModelBinder());
5 }

如上面代码,我们可为每一种类型,设置一个 ModerBinder。也可以像下面这样进行批量设置:

1 protected void Application_Start()
2 {
3 var sensitiveWordsFilterModelBinder = new SensitiveWordsFilterModelBinder();
4 var types = typeof(Article).Assembly.GetTypes().Where(t=>t.IsSubclassOf(typeof(DomainModel)));
5 foreach (var type in types)
6 ModelBinders.Binders.Add(type, sensitiveWordsFilterModelBinder);
7 }

这个就不多解释了。

使用 SensitiveWordsFilterModelBinder 方式的缺点

有些 MVC 的初学者之前大多是做 ASP.NET,可能有时会使用 Request.Form[“…”] 这种方式来接收数据,使用这种方式的地方都会成为系统的漏洞。

总结

ASP.Net MVC 采用了非常先进的设计思想,具有良好的可扩展性,可以通过各种方式轻松解决我们遇到的各种问题。

赞(0) 打赏
分享到: 更多 (0)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏