不正操作防止機能のバックアップ(No.13) - Open 棟梁 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

「Open棟梁 wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
詳細
例外発生の抑止
- ユーザ操作を制限する。
- 例外発生後の扱いを変える
  - ログ出力
  - セッション解放
関連

概要 †

不正操作防止機能は、

クライアント－サーバのRequest Ticketを比較することで不正操作を検出する。

不正操作の例
- 二重送信
- リロード
- バック・サブミット
- キャッシュの参照

詳細 †

HiddenとSessionに格納したRequest Ticketを
サーバサイドで突き合わせすることで不正操作を検出する仕組みです。

Open棟梁はブラウザ・ウィンドウ別Session領域機能を持っているので、
本機能は複数ブラウザ・ウィンドウの場合にも対応しています。

Request Ticketは、LRUで削除される。
世代数は、FxRequestTicketGuidMaxQueueLengthに設定できる。

不正操作防止機能

例外発生の抑止 †

Webアプリケーションの不正操作が行われた時に、不正操作防止機能が例外をスローします。
以下の対策を施すことで、不正操作防止機能の例外を抑止できます。

ユーザ操作を制限する。 †

「Webアプリケーションの不正操作」に書かれている不正操作防止機能以外の対策を施す。

例外発生後の扱いを変える †

例外の発生箇所
https://github.com/OpenTouryoProject/OpenTouryo/blob/develop/root/programs/C%23/Frameworks/Infrastructure/Framework/Presentation/BaseController.cs#L788

↓

例外の補足箇所
https://github.com/OpenTouryoProject/OpenTouryo/blob/develop/root/programs/C%23/Frameworks/Infrastructure/Framework/Presentation/BaseController.cs#L1665

↓

ログ出力 †

https://github.com/OpenTouryoProject/OpenTouryo/blob/develop/root/programs/C%23/Frameworks/Infrastructure/Business/Presentation/MyBaseController.cs#L729

ここでログ出力処理をカスタマイズする。

セッション解放 †

https://github.com/OpenTouryoProject/OpenTouryo/blob/develop/root/programs/C%23/Frameworks/Infrastructure/Business/Presentation/MyBaseController.cs#L790

現行、不正操作防止機能の例外はセッションを解放しない作りになっている（業務続行可能）。

関連 †