有人可以从页面外部访问我的WebMethods吗？

Question

我有一个页面，它有webmethods我可以通过ScriptManager从aspx页面使用它，我想知道如果任何人都可以从页面外部访问这些方法，如果它是如何保护WebMethods？

Answer 1

完全无法保证Web方法的安全。毕竟，如果您从您的网页访问它们，则可以直接从客户端浏览器访问它们。

您可以添加一个额外的参数，需要包含某种一次性密码/令牌，并在页面呈现时生成一个。这会让别人更难以继续使用您的网络服务，而无需实际访问您的网站。

Answer 2

是的，添加WebMethod属性可以远程调用该方法，这意味着您可以使用JavaScript调用它。简单地说，你不应该暴露WebMethods，你不希望第三方能够打电话。但有关安全和Web服务的更多信息，请参阅：http://msdn.microsoft.com/en-us/magazine/cc188947.aspx

Answer 3

您的Web方法将具有与您的网页相同的安全性。如果您需要确保安全地访问它们，请在允许执行操作之前检查有效会话，已通过身份验证的用户等。对Web方法的请求应包括确定提出请求的用户是否已通过身份验证所需的各种Cookie。根据经过身份验证的用户的身份，他们的角色等，您可以确定是否应该处理该请求。如果您使用Web配置来保护您的页面，则应用于页面的安全性也应该应用于页面上的Web方法。

请注意，您不能保证有人不会简单地发出独立于浏览器的请求（即请求始终来自应用程序的UI内）。您需要进行与您的任何页面相同的安全检查。

请注意，我正在讨论将安全web方法添加到ASPX页面。对于网络服务，认证和授权可能完全不同。例如，每个请求都可能需要凭证，并且可能是方法本身的“信封”或参数的一部分。保护Web服务可能是其自身问题的一个主题。

Answer 4

是的。

但您可以secure them easily。