Por que o JsonRequestBehavior é necessário?

Por que é Json Request Behaviornecessário?

Se eu quiser restringir os HttpGetpedidos à minha ação, eu posso decorar a ação com o [HttpPost]atributo

Exemplo:

[HttpPost]
public JsonResult Foo()
{
    return Json("Secrets");
}

// Instead of:
public JsonResult Foo()
{
    return Json("Secrets", JsonRequestBehavior.AllowGet);
}

Por que não é [HttpPost]suficiente?
Por que os quadro "bugs" dos EUA com a JsonRequestBehavior.AllowGetde todos os JsonResultque temos. Se eu quiser negar solicitações get, adicionarei o HttpPostatributo

O MVC padroniza para DenyGetprotegê-lo contra um ataque muito específico envolvendo solicitações JSON para melhorar a probabilidade de que as implicações de permitir a HTTP GETexposição sejam consideradas antes de permitir que elas ocorram.

Isso é contra depois, quando pode ser tarde demais.

Nota: Se o seu método de ação não retornar dados confidenciais, deve ser seguro permitir o recebimento.

Outras leituras do meu livro Wrox ASP.NET MVC3

Por padrão, a estrutura do ASP.NET MVC não permite que você responda a uma solicitação HTTP GET com uma carga JSON. Se você precisar enviar JSON em resposta a um GET, precisará explicitamente permitir o comportamento usando JsonRequestBehavior.AllowGet como o segundo parâmetro para o método Json. No entanto, existe a chance de um usuário mal-intencionado obter acesso à carga útil do JSON por meio de um processo conhecido como JSON Hijacking. Você não deseja retornar informações confidenciais usando JSON em uma solicitação GET. Para obter mais detalhes, consulte a publicação de Phil em http://haacked.com/archive/2009/06/24/json-hijacking.aspx/ ou esta publicação da SO.

Haack, Phil (2011). Profissional ASP.NET MVC 3 (programador Wrox para programador) (locais Kindle 6014-6020). Wrox. Edição Kindle.

Pergunta relacionada ao StackOverflow

Na maioria dos navegadores recentes (a partir do Firefox 21, Chrome 27 ou IE 10), isso não é mais uma vulnerabilidade.

Para facilitar, você também pode criar um atributo actionfilter

public class AllowJsonGetAttribute : ActionFilterAttribute
{
    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;

        if (jsonResult == null)
            throw new ArgumentException("Action does not return a JsonResult, 
                                                   attribute AllowJsonGet is not allowed");

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;            

        base.OnResultExecuting(filterContext);
    }
}

e use-o em sua ação

[AllowJsonGet]
public JsonResult MyAjaxAction()
{
    return Json("this is my test");
}

Por padrão, Jsonresult "Negar get"

Suponha que se tivermos o método abaixo

  [HttpPost]
 public JsonResult amc(){}

Por padrão, "Negar Get".

No método abaixo

public JsonResult amc(){}

Quando você precisa permitir ou usar get, temos que usar JsonRequestBehavior.AllowGet.

public JsonResult amc()
{
 return Json(new Modle.JsonResponseData { Status = flag, Message = msg, Html = html }, JsonRequestBehavior.AllowGet);
}

Melhorando um pouco a resposta de @Arjen de Mooij, tornando o AllowJsonGetAttribute aplicável aos controladores mvc (não apenas aos métodos de ação individuais):

using System.Web.Mvc;
public sealed class AllowJsonGetAttribute : ActionFilterAttribute, IActionFilter
{
    void IActionFilter.OnActionExecuted(ActionExecutedContext context)
    {
        var jsonResult = context.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
    }

    public override void OnResultExecuting(ResultExecutingContext filterContext)
    {
        var jsonResult = filterContext.Result as JsonResult;
        if (jsonResult == null) return;

        jsonResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
        base.OnResultExecuting(filterContext);
    }
}

Você não precisa disso.

Se sua ação tiver o HttpPostatributo, você não precisará se preocupar em definir JsonRequestBehaviore usar a sobrecarga sem ela. Há uma sobrecarga para cada método sem a JsonRequestBehaviorenumeração. Aqui estão eles:

Sem JsonRequestBehavior

protected internal JsonResult Json(object data);
protected internal JsonResult Json(object data, string contentType);
protected internal virtual JsonResult Json(object data, string contentType, Encoding contentEncoding);

Com JsonRequestBehavior

protected internal JsonResult Json(object data, JsonRequestBehavior behavior);
protected internal JsonResult Json(object data, string contentType, 
                                   JsonRequestBehavior behavior);
protected internal virtual JsonResult Json(object data, string contentType, 
    Encoding contentEncoding, JsonRequestBehavior behavior);