Tag Archives: ASP.NET MVC

Deploy web aplikacji do chmury

Jeżeli przy tworzeniu nowego projektu w Visual Studio nie zaznaczyliśmy opcji „Host in the cloud”, ale chcemy opublikować naszą aplikacje w chmurze Azure, to ten krótki poradnik może okazać się przydatny. Pierwszą rzeczą jaką musimy zrobić jest stworzenie web aplikacji w Azure.
Wybieramy Usługi aplikacji z portalu i klikamy dodaj

Po stworzeniu aplikacji, możemy pobrać profil jej ustawień klikając „Pobierz profil…”

Otwieramy solucję w Visual Studio, wybieramy projekt do deployu i wybieramy Publish, a następnie Import i wybieramy plik z profilem *.PublishSettings pobrany z portalu Azure.

Dla pewności możemy wykonać test połączenia oraz upragniony Publish. That’s it. Nasza aplikacja już działa na Azure, przynajmniej powinna, o ile stworzyliśmy wcześniej także bazę danych i zmieniliśmy odpowiednio ConnectionStringa w web.configu.

Kontroler i Akcje

W tym wpisie przyjrzymy się kontrolerom w aplikacji ASP.NET MVC oraz akcjom, które mogą one zawierać. Kontrolery są odpowiedzialne za odpowiadanie na żądania użytkownika. Każde żądanie kierowane z przeglądarki jest obsługiwane przez określony kontroler. Przykładowo użytkownik klika przycisk odpowiadający za dodanie nowego wydarzenia, natomiast kontroler (EventsController) w odpowiedzi wyświetla odpowiedni widok. Akcja, która się w tym przypadku wykona jest zawarta w metodzie Create typu GET.

// GET: Events/Create
[Authorize]
public ActionResult Create()
{
ViewBag.LocationId = new SelectList(_locationRepository.GetLocations().OrderBy(l => l.Name), "Id", "Name");
ViewBag.TypeId = new SelectList(_eventTypeRepository.GetEventTypes().OrderBy(et => et.Name), "Id", "Name");
return View();
}

// GET: Events/Create

[Authorize]

public ActionResult Create()

{

ViewBag.LocationId = new SelectList(_locationRepository.GetLocations().OrderBy(l => l.Name), "Id", "Name");

ViewBag.TypeId = new SelectList(_eventTypeRepository.GetEventTypes().OrderBy(et => et.Name), "Id", "Name");

return View();

}

Zgodnie z dobrymi praktykami należy pamiętać, że w kontrolerze nie powinno być zawartej logiki biznesowej, ani logiki odpowiedzialnej za dostęp do danych. No dobrze, ale jak to się dzieje że akcje są wykonywane przez odpowiednie metody kontrolera? Za to odpowiedzialny jest routing. Przykładowo wywołujemy URL: http://localhost/Events/Create i w tym przypadku zostanie wywołana metoda Create() z klasy EventsController. Akcje kontrolera muszą być metodami publicznymi. Także każda metoda publiczna w kontrolerze staje się wystawioną na zewnątrz akcją. Każda akcja zwraca typ ActionResult. W przypadku powyższej metody Create zwracany jest typ ViewResult. Wystarczy zwrócić wynik metody View(), a zwrócony zostanie widok o nazwie Create znajdujący się w katalogu Events (czyli o takiej samej nazwie jak kontroler). Identyczny efekt osiągniemy gdy wywołamy metodę View(„Create”), wtedy jawnie wskazujemy nazwę widoku. Poza typem ViewResult w ASP.NET MVC jest dostępnych jeszcze kilka innych typów. Lista wszystkich typów prezentuje się następująco:

ViewResult – zwraca widok
PartialViewResult – zwraca widok częściowy
EmptyResult – zwraca null
RedirectResult – przekierowuje do innej akcji za pomocą adresu URL
RedirectToRouteResult – przekierowuje do innej akcji bez odwiedzania adresu URL
JsonResult – zwraca dane w postaci JSON
JavaScriptResult – zwraca kod w postaci JavaScript
ContentResult – zwraca wartość tekstową
FileContentResult – reprezentuje plik do pobrania, jako tablicę bitów
FilePathResult – zwraca ścieżkę do pliku
FileStreamResult – reprezentuje plik do pobrania, jako strumień danych

Każdy z typów dziedziczy z klasy bazowej ActionResult. Poniżej znajdują się przykładowe implementacje akcji:

        public ActionResult Partial()
        {
            var events = _eventRepository.GetEvents();
            return PartialView("Index", events);
        }

        public ActionResult EmptyResult()
        {
            return new EmptyResult();
        }

        public ActionResult RedirectResult()
        {
            var locations = _locationRepository.GetLocations();
            return RedirectToAction("Index", locations);
        }

        public ActionResult RedirectToRouteResult()
        {
            return RedirectToRoute("Index", "Home");
        }

        public ActionResult JsonResult()
        {
            return Json(new { Id = 2016, Name="BreakingChanges" });
        }

        public ActionResult JavaScriptResult()
        {
            return JavaScript("alert('Hello World')");
        }

        public ActionResult ContentResult()
        {
            return Content("TestContent");
        }

        public ActionResult FileContentResult()
        {
            string path = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "files", "virus.exe");
            return File(System.IO.File.ReadAllBytes(path), "application/x-msdownload");
        }

        public ActionResult FilePathResult()
        {
            string path = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "files", "virus.exe");
            return File(path, "application/x-msdownload", "virus.exe");
        }

        public ActionResult FileStreamResult()
        {
            string path = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "files", "virus.exe");
            return File(System.IO.File.OpenRead(path), "application/x-msdownload");
        }

public ActionResult Partial()

{

var events = _eventRepository.GetEvents();

return PartialView("Index", events);

}

public ActionResult EmptyResult()

{

return new EmptyResult();

}

public ActionResult RedirectResult()

{

var locations = _locationRepository.GetLocations();

return RedirectToAction("Index", locations);

}

public ActionResult RedirectToRouteResult()

{

return RedirectToRoute("Index", "Home");

}

public ActionResult JsonResult()

{

return Json(new { Id = 2016, Name="BreakingChanges" });

}

public ActionResult JavaScriptResult()

{

return JavaScript("alert('Hello World')");

}

public ActionResult ContentResult()

{

return Content("TestContent");

}

public ActionResult FileContentResult()

{

string path = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "files", "virus.exe");

return File(System.IO.File.ReadAllBytes(path), "application/x-msdownload");

}

public ActionResult FilePathResult()

{

string path = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "files", "virus.exe");

return File(path, "application/x-msdownload", "virus.exe");

}

public ActionResult FileStreamResult()

{

string path = Path.Combine(AppDomain.CurrentDomain.BaseDirectory, "files", "virus.exe");

return File(System.IO.File.OpenRead(path), "application/x-msdownload");

}

Zabezpieczenie przed atakami CSRF w ASP.NET MVC

CSRF czyli Cross-Site Request Forgery jest to w skrócie zmuszenie przeglądarki ofiary do wykonania nieautoryzowanej akcji (za pomocą żądania HTTP). Ofiarą jest zalogowany do serwisu użytkownik. Celem takiego ataku może być podmiana danych w formularzu lub też wykonanie innej akcji np. stworzenie konta użytkownika z uprawnieniami admina. Wypadałoby się przed tym zabezpieczyć tworząc aplikacje webową. Na szczęście mechanizm zabezpieczeń otrzymujemy w ASP.NET MVC out of the box 🙂
Pokażmy to na przykładzie. Mamy kontroler eventów, który zawiera metody Edit – Get i Post.

        // GET: Events/Edit/5
        [Authorize]
        public ActionResult Edit(string id)
        {
            if (id == null)
            {
                return new HttpStatusCodeResult(HttpStatusCode.BadRequest);
            }
            Event @event = _eventRepository.GetEventById(id);
            if (@event == null)
            {
                return HttpNotFound();
            }
            ViewBag.LocationId = new SelectList(_locationRepository.GetLocations().OrderBy(l => l.Name), "Id", "Name");
            ViewBag.TypeId = new SelectList(_eventTypeRepository.GetEventTypes().OrderBy(et => et.Name), "Id", "Name");
            return View(@event);
        }

        // POST: Events/Edit/5
        [HttpPost]
        [Authorize]
        public ActionResult Edit(Event @event)
        {
            if (ModelState.IsValid)
            {
                try
                {
                    _eventRepository.Update(@event);
                    _eventRepository.SaveChanges();
                }
                catch (Exception ex)
                {
                    ViewBag.Error = true;
                    return View(@event);
                }
            }
            ViewBag.LocationId = new SelectList(_locationRepository.GetLocations().OrderBy(l => l.Name), "Id", "Name");
            ViewBag.TypeId = new SelectList(_eventTypeRepository.GetEventTypes().OrderBy(et => et.Name), "Id", "Name");
            ViewBag.Error = false;
            return View(@event);
        }

// GET: Events/Edit/5

[Authorize]

public ActionResult Edit(string id)

{

if (id == null)

{

return new HttpStatusCodeResult(HttpStatusCode.BadRequest);

}

Event @event = _eventRepository.GetEventById(id);

if (@event == null)

{

return HttpNotFound();

}

ViewBag.LocationId = new SelectList(_locationRepository.GetLocations().OrderBy(l => l.Name), "Id", "Name");

ViewBag.TypeId = new SelectList(_eventTypeRepository.GetEventTypes().OrderBy(et => et.Name), "Id", "Name");

return View(@event);

}

// POST: Events/Edit/5

[HttpPost]

[Authorize]

public ActionResult Edit(Event @event)

{

if (ModelState.IsValid)

{

try

{

_eventRepository.Update(@event);

_eventRepository.SaveChanges();

}

catch (Exception ex)

{

ViewBag.Error = true;

return View(@event);

}

ViewBag.LocationId = new SelectList(_locationRepository.GetLocations().OrderBy(l => l.Name), "Id", "Name");

ViewBag.TypeId = new SelectList(_eventTypeRepository.GetEventTypes().OrderBy(et => et.Name), "Id", "Name");

ViewBag.Error = false;

return View(@event);

}

Teraz wystarczy, że haker skłoni nas do wyświetlenia strony zawierającej formularz z auto submitem, przez niego spreparowany z wpisanymi wartościami, np. strona HTML może zawierać taki kawałek kodu:

<form id="eventForm" action="http://localhost:6875/Events/Edit/88611f5e-fb27-479d-8437-e8e1fe8dcd38" method="post">        
        <input id="Id" name="Id" type="hidden" value="88611f5e-fb27-479d-8437-e8e1fe8dcd38">
        <div class="form-group">
            <label class="control-label col-md-2" for="StartDate">Data rozpoczęcia</label>
            <div class="col-md-10">
                <input class="form-control datepicker text-box single-line" data-val="true" id="StartDate" name="StartDate" type="date" value="2022-04-06">
                <span class="field-validation-valid text-danger" data-valmsg-for="StartDate" data-valmsg-replace="true"></span>
            </div>
        </div>     
</form>
<script type="text/javascript">
    document.getElementById('eventForm').submit();
</script>

<label class="control-label col-md-2" for="StartDate">Data rozpoczęcia</label>

</div>

</form>

document.getElementById('eventForm').submit();

</script>

W przykładzie tym została podmieniona data rozpoczęcia eventu. Nie jest to co prawda jakaś bardzo inwazyjna operacja, ale obrazuje działanie CSRF. W przypadku braku zabezpieczeń, data wybranego wydarzenia zostanie zaktualizowana. Z pomocą przychodzi nam atrybut [ValidateAntiForgeryToken], którym możemy udekorować naszą metodę Edit.

        // POST: Events/Edit/5
        [HttpPost]
        [Authorize]
        [ValidateAntiForgeryToken]
        public ActionResult Edit([Bind(Include = "Id,CreationDate,Name,Description,StartDate,StartTime,EndDate,EndTime,LocationId,TypeId,Objective,NumberOfAttendees,UserId")] Event @event)
        {
            if (ModelState.IsValid)
            {
                try
                {
                    _eventRepository.Update(@event);
                    _eventRepository.SaveChanges();
                }
                catch (Exception ex)
                {
                    ViewBag.Error = true;
                    return View(@event);
                }
            }
            ViewBag.LocationId = new SelectList(_locationRepository.GetLocations().OrderBy(l => l.Name), "Id", "Name");
            ViewBag.TypeId = new SelectList(_eventTypeRepository.GetEventTypes().OrderBy(et => et.Name), "Id", "Name");
            ViewBag.Error = false;
            return View(@event);
        }

// POST: Events/Edit/5

[HttpPost]

[Authorize]

[ValidateAntiForgeryToken]

public ActionResult Edit([Bind(Include = "Id,CreationDate,Name,Description,StartDate,StartTime,EndDate,EndTime,LocationId,TypeId,Objective,NumberOfAttendees,UserId")] Event @event)

{

if (ModelState.IsValid)

{

try

{

_eventRepository.Update(@event);

_eventRepository.SaveChanges();

}

catch (Exception ex)

{

ViewBag.Error = true;

return View(@event);

}

ViewBag.LocationId = new SelectList(_locationRepository.GetLocations().OrderBy(l => l.Name), "Id", "Name");

ViewBag.TypeId = new SelectList(_eventTypeRepository.GetEventTypes().OrderBy(et => et.Name), "Id", "Name");

ViewBag.Error = false;

return View(@event);

}

Ponadto w widoku musi się znaleźć taki fragment kodu:

@using (Html.BeginForm())
{
@Html.AntiForgeryToken()
…
}

@using (Html.BeginForm())

{

@Html.AntiForgeryToken()

…

}

powoduje to wygenerowanie ciasteczka i klucza, który jest ukryty w formie i wygląda tak:

<input name="__RequestVerificationToken" type="hidden" value="p-mEYr9SQrDvvCGU-ness9maQwrd7iN1ei1FUd5ieKQpXjjGNQKMHyTqER9o9GDqOm4o5cqS27JRWwZBE-R2FUitBnnWI83tMTJ3lq4zrzawzDeAPFKx-3Kf3p5eI1ouRUhfsYWElXnPhGM0fRsWkw2">

1	<input name="__RequestVerificationToken" type="hidden" value="p-mEYr9SQrDvvCGU-ness9maQwrd7iN1ei1FUd5ieKQpXjjGNQKMHyTqER9o9GDqOm4o5cqS27JRWwZBE-R2FUitBnnWI83tMTJ3lq4zrzawzDeAPFKx-3Kf3p5eI1ouRUhfsYWElXnPhGM0fRsWkw2">

W żądaniu POST ciasteczko jest przesyłane i za pomocą atrybutu [ValidateAntiForgeryToken] sprawdzana jest zgodność klucza. Gdy klucz nie będzie zgodny, wystąpi błąd. Dodatkowo w metodzie Edit można dodać jeszcze jedno zabezpieczenie, chodzi o binding.

public ActionResult Edit([Bind(Include = "Id,CreationDate,Name,Description,StartDate,StartTime,EndDate,EndTime,LocationId,TypeId,Objective,NumberOfAttendees,UserId")] Event @event)

1	public ActionResult Edit([Bind(Include = "Id,CreationDate,Name,Description,StartDate,StartTime,EndDate,EndTime,LocationId,TypeId,Objective,NumberOfAttendees,UserId")] Event @event)

Dzięki temu określamy jakie dane mogą zostać zapisane, ponadto w żądaniu sprawdzane są typy i wartości. Poprawność danych wskaże nam właściwość ModelState.IsValid.

Podsumowując, nie należy ignorować podatności CSRF i odpowiednio się przed nią zabezpieczyć. Na szczęście ASP.NET MVC robi to za nas 🙂

P	W	Ś	C	P	S	N
« Maj
1	2	3	4	5	6	7
8	9	10	11	12	13	14
15	16	17	18	19	20	21
22	23	24	25	26	27	28
29	30

Jakub Skoczeń

.NET Developer

Tag Archives: ASP.NET MVC

Deploy web aplikacji do chmury

Kontroler i Akcje

Zabezpieczenie przed atakami CSRF w ASP.NET MVC