.NET MVC密码恢复功能响应篡改绕过问题及解决方案咨询

核心思路 #

不能让前端仅依赖返回的JSON字段判断操作结果，必须通过服务器端生成的不可篡改凭证或二次验证机制来确认密码是否真的修改成功，彻底切断攻击者篡改响应影响前端展示的路径。

方案1：签名令牌验证机制 #

• 处理密码重置请求时，不管操作成功与否，服务器生成一个包含操作结果、用户ID、时间戳的结构化数据，用服务器端专属密钥通过HMACSHA256等算法签名，生成加密令牌。
• 前端收到响应后，携带该令牌跳转至专门的结果验证Action，服务器在这个Action里验证令牌的签名有效性和时效性，再返回真实的操作结果用于页面展示。
• 示例代码片段：

  // 生成签名令牌
  var resetResult = new { Success = passwordChanged, UserId = targetUserId, Timestamp = DateTime.UtcNow };
  var jsonPayload = JsonConvert.SerializeObject(resetResult);
  var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(Configuration["AppSettings:ResetSigningKey"]));
  var signature = Convert.ToBase64String(hmac.ComputeHash(Encoding.UTF8.GetBytes(jsonPayload)));
  var signedToken = $"{Convert.ToBase64String(Encoding.UTF8.GetBytes(jsonPayload))}.{signature}";
  
  // 返回给前端
  return Json(new { VerificationToken = signedToken });
  

  前端拿到令牌后，跳转至/Account/ConfirmReset?token={signedToken}，服务器在该Action中完成签名校验后，返回真实结果视图。

方案2：服务器端主导状态展示 #

• 取消JSON响应，处理完密码重置请求后，直接返回跳转指令到状态展示页（比如RedirectToAction("ResetStatus")）。
• 在ResetStatus Action中，从服务器端存储（Session、数据库临时记录或用户操作日志）获取真实的重置结果，再渲染对应的成功/失败视图。
• 这种方式完全绕过前端对响应内容的依赖，所有状态判断都在服务器端完成，攻击者篡改跳转响应也无法影响最终页面展示的真实结果。

方案3：HTTP-only加密Cookie传递状态 #

• 处理密码重置请求时，服务器设置一个HTTP-only、Secure的加密Cookie，存入操作结果状态，有效期设为5分钟以内。
• 前端收到响应后自动跳转至状态页，服务器在该页的Action中读取并解密Cookie内容，验证有效性后返回真实结果。
• 注意：Cookie必须加密，且设置HttpOnly防止前端脚本篡改，Secure确保仅在HTTPS环境下传输。

关键注意事项 #

• 禁止前端逻辑直接根据响应字段判断业务操作结果，所有状态展示必须由服务器端主导。
• 敏感操作的响应避免返回纯业务状态JSON，尽量用跳转或加密凭证替代。
• 全程使用HTTPS通信，防止请求/响应被明文拦截篡改。

内容的提问来源于stack exchange，提问作者VIjay Jainapure