Quais 'informações confidenciais' podem ser divulgadas ao definir JsonRequestBehavior como AllowGet

Tenho recebido o mesmo erro de sempre toda vez que testo um novo URLna barra de endereços do meu navegador quando estou returning Json(usando o integrado MVC JsonResult helper):

Esta solicitação foi bloqueada porque informações confidenciais podem ser divulgadas a sites de terceiros quando usadas em a GET request. Para permitir GET requests, defina JsonRequestBehaviorcomo AllowGet.

Em vez de grunhir em reconhecimento e ativar o Fiddler para fazer uma solicitação de postagem, desta vez, estou me perguntando exatamente o que uma GETsolicitação expõe e outra POSTnão?

Digamos que seu site tenha um GetUsermétodo da web:

http://www.example.com/User/GetUser/32

que retorna uma resposta JSON:

{ "Name": "John Doe" }

Se esse método aceitar apenas solicitações POST, o conteúdo só será retornado ao navegador se uma solicitação AJAX for feita http://www.example.com/User/GetUser/32usando o método POST. Observe que, a menos que você tenha implementado o CORS , o navegador protegerá os dados de outros domínios que fazem essa solicitação ao seu.

No entanto, se você permitir solicitações GET, além de fazer uma solicitação AJAX semelhante à anterior com GET em vez de POST, um usuário mal-intencionado pode incluir seu JSON no contexto de seu próprio site usando uma scripttag no HTML. por exemplo em www.evil.com:

<script src="http://www.example.com/User/GetUser/32"></script>

Este JavaScript deve ser inútil www.evil.comporque não deve haver nenhuma maneira de ler o objeto retornado pelo seu método da web. Porém, devido a bugs em versões antigas de navegadores (por exemplo, Firefox 3), é possível redefinir objetos de protótipo JavaScript e possibilitar www.evil.coma leitura dos dados retornados pelo método. Isso é conhecido como JSON Hijacking.

Veja esta postagem para alguns métodos de prevenir isso. No entanto, não é um problema conhecido com as versões posteriores dos navegadores modernos (Firefox, Chrome, IE).

em seu retorno, use o seguinte:

return this.Json("you result", JsonRequestBehavior.AllowGet);

Por padrão, a estrutura ASP.NET MVC não permite que você responda a uma solicitação GET com uma carga JSON, pois há uma chance de um usuário mal-intencionado obter acesso à carga por meio de um processo conhecido como JSON Hijacking. Você não deseja retornar informações confidenciais usando JSON em uma solicitação GET.

Se você precisa enviar JSON em resposta a um GET e não está expondo dados confidenciais, pode permitir explicitamente o comportamento passando JsonRequestBehavior.AllowGetcomo um segundo parâmetro para o Json método.

Tal como

  [HttpGet] //No need to decorate, as by default it will be GET
  public JsonResult GetMyData(){  
    var myResultDataObject = buildMyData(); // build, but keep controller thin
    // delegating buildMyData to builder/Query Builder using CQRS makes easy :)
    return Json(myResultDataObject, JsonRequestBehavior.AllowGet);
  }

Aqui está um artigo interessante de Phil Haack JSON Hijackingsobre por que não usar Json com o método GET

Quando queremos retornar um objeto json para o cliente do aplicativo MVC, devemos especificar explicitamente JsonRequestBehavior.AllowGet ao retornar um objeto. Como resultado, eu retorno os dados json conforme abaixo para resolver o problema:

    return Json(yourObjectData, JsonRequestBehavior.AllowGet);

Você deve usar JsonRequestBehavior.AllowGet para Resposta Json como este:

return Json(YourObject, JsonRequestBehavior.AllowGet);

return Json ("Success", JsonRequestBehavior.AllowGet)