AJAX安全-Session做Token

时间：2022-09-04 16:19:21

个人思路，请大神看到了指点

个人理解token是防止扫号机或者恶意注册、恶意发表灌水，有些JS写的token算法，也会被抓出来被利用，个人感觉还是用会过期的Session做token更好，服务器存储，加载到客户端页面，然后进行对比

index.aspx

<%@ Page Language="C#" AutoEventWireup="true" CodeFile="index.aspx.cs" Inherits="index" %>

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<html xmlns="http://www.w3.org/1999/xhtml">

<head runat="server">

    <title></title>

     <script type="text/javascript" src="jquery.js"></script>

     <script>

         function submist() {

             if ($("#HDToken").val() != null) {

                 var JsonData = {

                     Token: $("#HDToken").val(),

                     sid: Math.random()

                 };

                 $.ajax({

                     type: "post",

                     url: "index.ashx",

                     dataType: "json",

                     data: JsonData,

                     success: function (data) {

                         if (data[0].status == 'success') {

                             alert("成功" + data[0].message);

                         }

                         else {

                             alert("失败" + data[0].message);

                         }

                     },

                     error: function (data, status, e) {

                         alert("系统错误" + status + "|" + data[0].message);

                     }

                 });

             }

             else {

                 alert("回话过期，重新刷新页面");

                 return;

             }

         }

     </script>

</head>

<body>

    <form id="form1" runat="server">

    <div>

    <input id="HDToken" type="hidden"  runat="server" />

        <input id="Button1" type="button" value="提交"  onclick="submist()"/>

        <asp:Button ID="Button2" runat="server" Text="清除" onclick="Button2_Click" />

        </div>

    </form>

</body>

</html>

index.cs

using System;

using System.Collections.Generic;

using System.Linq;

using System.Web;

using System.Web.Security;

using System.Web.UI;

using System.Web.UI.WebControls;

public partial class index : System.Web.UI.Page

{

    protected void Page_Load(object sender, EventArgs e)

    {

        if (!IsPostBack)

        {

            string Token = "";

            if (Session["Token"] == null)

            {

                Session["Token"] = DateTime.Now.ToString();

                Token = Session["Token"].ToString();

                HDToken.Value = FormsAuthentication.HashPasswordForStoringInConfigFile(Token, "md5").ToLower();//MD5加密后赋值给隐藏域

                //Response.Write(HDToken.Value);

            }

            else

            {

                    Token = Session["Token"].ToString();

                    HDToken.Value = FormsAuthentication.HashPasswordForStoringInConfigFile(Token, "md5").ToLower();

                   // Response.Write(HDToken.Value);

                    //以下为回话过期，可以放在Global.asax 做定时器

                    TimeSpan span=DateTime.Now.Subtract(Convert.ToDateTime(Session["Token"]));

                    int min = span.Minutes + ;

                    if (min > )

                    {

                        Session.Remove("Token");//时间大于1分钟，移除

                    }

            }

        }

    }

    protected void Button2_Click(object sender, EventArgs e)

    {

        Session.Abandon();

    }

}

index.ashx

<%@ WebHandler Language="C#" Class="index" %>

using System;

using System.Web;

using System.Web.Security;

using System.Web.SessionState;

public class index : IHttpHandler, IRequiresSessionState

{

    public void ProcessRequest(HttpContext context)

    {

        context.Response.ContentType = "text/plain";

        string Token = context.Request["Token"];//获得隐藏域的值

        if (context.Session["Token"] != null)

        {

            if (FormsAuthentication.HashPasswordForStoringInConfigFile(context.Session["Token"].ToString(), "md5").ToLower() == Token)

            {

                context.Response.Write("[{\"message\":\"成功\",\"status\":\"success\"}]");

                context.Response.End();

                return;

            }

            else

            {

                context.Response.Write("[{\"message\":\"失败\",\"status\":\"error\"}]");

                context.Response.End();

                return;

            }

        }

        else

        {

            context.Response.Write("[{\"message\":\"过期\",\"status\":\"error\"}]");

            context.Response.End();

            return;

        }

    }

    public bool IsReusable {

        get {

            return false;

        }

    }

}

另一种方法，在请求头部加入token

    if (!IsPostBack)

    {

                ///生成 Token

                string Token = new Random().NextDouble().ToString();

                Session["token"] = Token;

                System.Web.UI.HtmlControls.HtmlGenericControl script = new System.Web.UI.HtmlControls.HtmlGenericControl("script");

                script.Attributes.Add("type", "text/javascript");

                script.InnerHtml = @"

                $.ajaxSetup({

                beforeSend: function (xhr) {

                    xhr.setRequestHeader(""token"", """ + Token + @""");

                }

            });

             ";

                Page.Header.Controls.Add(script);

     }

在请求结果页面直接获得string Token = context.Request.Headers["token"];

AJAX安全-Session做Token的更多相关文章

  1. 第八节：常见安全隐患和传统的基于Session和Token的安全校验

    一. 常见的安全隐患  1. SQL注入 常见的案例: String query = "SELECT * FROM T_User WHERE userID='" + Request ...

  2. 为什么你学不会递归？告别递归，谈谈我的一些经验 关于集合中一些常考的知识点总结 &period;net辗转java系列（一）视野 彻底理解cookie，session，token

    为什么你学不会递归?告别递归,谈谈我的一些经验   可能很多人在大一的时候,就已经接触了递归了,不过,我敢保证很多人初学者刚开始接触递归的时候,是一脸懵逼的,我当初也是,给我的感觉就是,递归太神奇了! ...

  3. cookie、session和token的概念

    Cookie.Session和Token都是为了解决Web身份校验而产生的,这里对它们的概念做一个简单了解. Web身份校验的发展 很久很久以前,Web基本上就是文档的浏览而已.既然是浏览,作为服务器 ...

  4. 理解cookie，session，token

    彻底理解cookie,session,token 发展史 1.很久很久以前,Web 基本上就是文档的浏览而已, 既然是浏览,作为服务器, 不需要记录谁在某一段时间里都浏览了什么文档,每次请求都是一个新 ...

  5. &lbrack;转帖&rsqb;彻底理解cookie，session，token

    彻底理解cookie,session,token https://www.cnblogs.com/moyand/p/9047978.html 发展史 1.很久很久以前,Web 基本上就是文档的浏览而已 ...

  6. 关于新手必须要理解的几个名词，cookie、session和token

    以下要说的,虽然不是开发过程中必须会遇到的,但却是进阶之路上必须要掌握的,一些涉及到状态管理与安全的应用当中尤为重要. 我之前虽略有学习,但也是东拼西凑临时看的一点皮毛,所以在这个假期利用一点时间,整 ...

  7. 3 分钟带你深入了解 Cookie、Session、Token

    经常会有用户咨询,CDN 是否会传递 Cookie 信息,是否会对源站 Session 有影响,Token 的防盗链配置为什么总是配置失败?为此,我们就针对 Cookie.Session 和 Toke ...

  8. cookie、session与token

    一.详述概念 1.Cookie机制 cookie机制是采用在客户端保持状态的方案(cookie的作用就是为了解决HTTP协议无状态的缺陷所作的努力).cookie的使用是由浏览器按照一定的原则在后台自 ...

  9. 小白必读：闲话HTTP短连接中的Session和Token

    本文引用了刘欣的文章,感谢原作者的分享. 1.引言 Http协议在现今主流的IM系统中拥有无可替代的重要性(在IM系统中用HTTP发起的连接被大家简称为http短连接),但Http作为传统互联网信息交 ...

随机推荐

  1. jquery&period;validate使用 - 1

    jquery.validate使用攻略 好几年不写JS了,资料整理起来比较慢,格式也有点乱 主要分几部分jquery.validate 基本用法jquery.validate API说明jquery. ...

  2. 【jQuery基础学习】01 jQuery选择器

    关于CSS选择器 jQuery选择器涉及到CSS,CSS技术使得网页的结构与表现样式完全分离. 同样CSS也需要找到某个网页的结构才能改变其样式,这就是CSS选择器. 常用的CSS选择器如下: 标签选 ...

  3. Outlook Anywhere 每次要输入密码

    客户端加入域Exchange OutlookAnywhere使用NTLM验证 2007 2010:

  4. javascript基础知识2&num;数据类型

    数据类型 typeof 操作符 undefined类型 boolean类型 Nubmer类型 NaN(not a number) 数值转换parseInt,parseFloat String类型 字符 ...

  5. Java：设计类的继承关系时的技巧

    继承设计的技巧: (1)将公共操作和域放置在超类 (2)不要使用受保护的域 有些程序员认为,将大多数的实例域定义为protected是一个不错的主意,只有这样,子类才能够在需要的时候直接访问他们.然而 ...

  6. js数组中的find&lpar;&rpar;&comma; findIndex&lpar;&rpar;&comma; filter&lpar;&rpar;&comma; forEach&lpar;&rpar;&comma; some&lpar;&rpar;&comma; every&lpar;&rpar;&comma; map&lpar;&rpar;&comma; reduce&lpar;&rpar;方法的详解和应用实例

    1. find()与findIndex() find()方法,用于找出第一个符合条件的数组成员.它的参数是一个回调函数,所有数组成员依次执行该回调函数,直到找出第一个返回值为true的成员,然后返回该 ...

  7. 03 python 初学（字符格式化输出）

    #_author: lily #_date: 2018/12/16 name = input("your name: ") age = input("your age: ...

  8. SQL Server2012数据库开启远程连接

    在我们使用SQL Server数据库的时候很重要的一点就是开启数据库的远程连接,这是因为很多时候数据库部署在远程的服务器上会比较方便,而部署在客户端的话,由于客户端不固定,所以需要经常去部署,这样容易 ...

  9. 关于PHP中的webshell

    一.webshell简介 webshell就是以asp.php.jsp或者cgi等网页文件形式存在的一种命令执行环境,也可以将其称做为一种网页后门.黑客在入侵了一个网站后,通常会将asp或php后门文 ...

  10. C&plus;&plus;飞机大战

    #include<windows.h> #include"resource.h" #include<stdlib.h> #include<time.h ...

相关文章