Nascondere i controlli come una forma di sicurezza Web, suggerimenti per migliorare?

Question

Sto lavorando a un sito Web (sviluppato in ASP.NET con C#) che è stato trasmesso a me. Come sto lavorando attraverso il sito, ho notato la maggior parte del sito ha questo tipo di codice in esso:

EmailLabel.Visible = false; 
WhateverButton.Visible = false; 
AnotherControl.Visible = false; 
... 

Tutto questo è in genere fatto nel code-behind del sito (nel metodo Page Load). Essenzialmente, questo è stato messo in atto per impedire ad un utente non connesso di accedere ai componenti (la regola per il sito è che un utente non registrato non dovrebbe poter vedere alcuna parte del sito fino al momento in cui si effettua il login). Il modo sopra funziona ... ma sembra piuttosto costoso dover controllare sempre se l'utente ha effettuato l'accesso e quindi girare allo stato corretto per tutti quei componenti.

C'è un modo diverso che questo problema possa essere affrontato. Solo a pensarci su/ricerca, ho pensato che forse ci sarebbe stato un modo per reindirizzare alla home page se un utente non ha effettuato l'accesso. Inoltre, potrei estendere una pagina base che farebbe questo per qualsiasi pagina che estende la pagina di base. Tuttavia, le mie conoscenze in questo settore sono limitate, quindi il mio suggerimento potrebbe non funzionare.

Cosa può suggerire? Qualcosa di meglio? Cosa c'è abbastanza buono?

Answer 1

Lo facciamo molto al mio lavoro.

Il modo in cui questo viene realizzato creando una classe BasePage che eredita da System.Web.UI.Page. Quindi esegui l'override di OnInit, chiama la base.OnInit e aggiungi il codice per verificare l'accesso dell'utente. Se l'utente non ha effettuato l'accesso, reindirizza a una pagina di accesso (che non erediterebbe da BasePage.)

Quindi, su ogni pagina che deve essere protetta, è sufficiente modificare la pagina per ereditare da BasePage.

E contrariamente a quanto detto in precedenza, se si scrive Response.End(); dopo il reindirizzamento, è molto più veloce che continua a elaborare il resto della pagina!

Spero che questo aiuti.

Answer 2

C'è un componente loginview che è un pannello che ha una vista anonima, una vista autenticata e viste per ruoli specifici. Questo rende facile farlo.

http://www.creativeui.com/2007/10/05/net-membership-part-ii-loginview/

Answer 3

E sarebbero molti, molti ordini di grandezza più costoso di emettere un reindirizzamento che per impostare i flag visibile su una serie di controlli.

Se la pagina consente sia l'accesso anonimo sia l'accesso effettuato, il reindirizzamento richiederebbe anche l'autorizzazione per l'accesso anonimo in un altro modo, probabilmente creando una seconda versione della pagina.

La domanda di spesa è in realtà solo una parte, anche se, probabilmente non importa affatto. Per rispondere alla tua domanda principale, senza saperne di più sull'architettura della tua app, considererei entrambe queste cose indesiderabili. I vantaggi di impostare semplicemente i controlli su Visible = false è che non viene eseguito il rendering al flusso di output per i controlli invisibili, ma possono comunque interagire con le richieste del server.

Senza saperne di più sui requisiti della tua pagina, è difficile suggerire alternative. Come menzionato da qualcun altro, un LoginView potrebbe soddisfare le tue esigenze se i controlli invisibili non partecipano affatto agli utenti anonimi.