.NET MVC密码找回功能遭响应篡改绕过安全校验求助

核心原则：永远把权限校验放在服务器端 #

你的问题本质是客户端依赖返回的success字段做权限判断，这是致命漏洞——攻击者完全可以篡改本地响应跳过校验。正确的逻辑是：客户端只负责展示结果，能否进入密码重置的最终判断必须由服务器端控制。

具体实现方案 #

方案1：重设计流程，服务器端直接控制跳转 #

这是最彻底的解决方案，完全规避客户端篡改的可能：

• 用户提交安全问题答案后，服务器直接完成校验：
  • 校验通过：生成带过期时间的密码重置令牌（可加密用户ID+过期时间），直接跳转到密码重置页面，令牌可作为URL参数或存入Session
  • 校验失败：重新渲染密码找回页面，通过ModelState展示错误信息
• 代码示例（控制器逻辑）：

[HttpPost]
public ActionResult VerifySecurityAnswer(SecurityAnswerModel model)
{
    var user = _userRepository.GetUserByEmail(model.Email);
    if (user == null || !_userRepository.ValidateSecurityAnswer(user.Id, model.Answer))
    {
        ModelState.AddModelError("", "安全问题答案错误，请重新输入");
        return View("ForgotPassword", model);
    }

    // 生成带过期时间的重置令牌
    var resetToken = _tokenService.CreatePasswordResetToken(user.Id, TimeSpan.FromMinutes(15));
    return RedirectToAction("ResetPassword", new { token = resetToken });
}

方案2：给响应添加数字签名（适配AJAX场景） #

如果必须保留异步请求方式，不要加密整个响应，而是给关键数据加数字签名：

• 服务器端：将success、用户ID、时间戳等关键字段拼接成字符串，用服务器端密钥通过HMAC-SHA256生成签名，随响应一起返回
• 客户端：发起下一步密码重置请求时，必须携带签名和关键参数，服务器端重新校验签名的合法性，再处理后续逻辑（绝对不能让客户端自行判断签名）
• 代码示例（服务器端生成签名）：

var responsePayload = new 
{
    Success = false,
    ErrorMessage = "安全问题答案错误",
    Timestamp = DateTime.UtcNow.Ticks,
    UserId = user?.Id ?? 0
};

// 生成HMAC签名
var signature = GenerateHmacSignature(
    $"{responsePayload.Success}|{responsePayload.UserId}|{responsePayload.Timestamp}",
    Configuration["AppSettings:SigningSecret"]
);

return Json(new { Data = responsePayload, Signature = signature });

方案3：强化传输层安全 #

• 强制开启HTTPS，防止响应在传输过程中被中间人篡改
• 添加X-Content-Type-Options: nosniff、Content-Security-Policy等安全头，降低客户端被注入篡改的风险

关键注意事项 #

• 绝对禁止客户端根据success字段决定是否进入密码重置流程，所有权限逻辑必须在服务器端闭环
• 签名密钥必须仅保存在服务器端，绝对不能硬编码到前端代码中
• 密码重置令牌必须设置合理的过期时间，防止被恶意复用

内容的提问来源于stack exchange，提问作者VIjay Jainapure