ASP.NET Core：通过访问码验证保护内容页面的实现方案咨询

你的现有实现存在几个关键的安全和设计问题，下面是修正后的完整方案：

核心问题分析 #

• 所有者的安全码通过隐藏字段暴露在前端，任何查看页面源码的人都能获取到，完全失去保护意义
• 使用POST请求获取详情页不符合REST设计规范，详情查询应该用GET
• 未处理Room不存在的异常情况，会导致空引用错误
• 验证失败直接跳转首页，无错误反馈，用户体验差
• 安全码如果是明文存储，数据库泄露会直接导致所有Room被破解

正确实现步骤 #

1. 安全码存储：使用哈希加密 #

永远不要存储明文安全码，在创建Room时对AccessCode进行哈希处理，推荐使用ASP.NET Core自带的PasswordHasher：

// 创建Room时的哈希处理
var passwordHasher = new PasswordHasher<Room>();
room.AccessCodeHash = passwordHasher.HashPassword(room, accessCode);

2. 调整请求方式：用GET请求+安全码参数 #

详情页应该用GET请求，同时将安全码作为查询参数，所有者访问时无需验证安全码，直接通过身份判断放行。

3. 前端逻辑优化 #

移除所有者的隐藏安全码字段，非所有者通过模态框输入安全码后发起GET请求，验证失败时显示错误提示。

4. 控制器逻辑完善 #

• 增加Room不存在的判断，返回404
• 安全码验证使用哈希比对，避免明文传输风险
• 验证失败时返回原页面并携带错误信息
• 修正模型属性的笔误问题

修改后的代码实现 #

Index.cshtml #

@foreach (var room in Model.Rooms)
{
    @if (room.Owner.Id == currentUserId)
    {
        <!-- 所有者直接跳转详情页，无需验证 -->
        <a asp-controller="Rooms" asp-action="Detail" asp-route-roomId="@room.RoomId" class="btn btn-success">
            <i class="fa-solid fa-right-to-bracket"></i>
        </a>
    }
    else
    {
        <button type="button" class="btn btn-primary" data-bs-toggle="modal" data-bs-target="#roomModal-@room.RoomId">
            <i class="fa-solid fa-right-to-bracket"></i>
        </button>

        <!-- 安全码输入模态框 -->
        <div class="modal fade" id="roomModal-@room.RoomId" tabindex="-1" aria-labelledby="roomModal-@room.RoomId" aria-hidden="true">
            <div class="modal-dialog">
                <div class="modal-content">
                    <div class="modal-header">
                        <h1 class="modal-title fs-5" id="roomModal-@room.RoomId-Label">进入@room.Name</h1>
                        <button type="button" class="btn-close" data-bs-dismiss="modal" aria-label="Close"></button>
                    </div>
                    <div class="modal-body">
                        <div class="container">
                            <div class="row">
                                <div class="col-12">
                                    <label for="AccessCode-@room.RoomId" class="form-label">请输入访问码</label>
                                    <input type="password" class="form-control" required id="AccessCode-@room.RoomId">
                                    @if (TempData["Error-@room.RoomId"] != null)
                                    {
                                        <span class="text-danger mt-2 d-block">@TempData["Error-@room.RoomId"]</span>
                                    }
                                </div>
                            </div>
                        </div>
                    </div>
                    <div class="modal-footer">
                        <button type="button" class="btn btn-primary" onclick="navigateToRoom(@room.RoomId)">提交</button>
                    </div>
                </div>
            </div>
        </div>
    }
}

<script>
function navigateToRoom(roomId) {
    const accessCode = document.getElementById(`AccessCode-${roomId}`).value;
    window.location.href = `/Rooms/Detail?roomId=${roomId}&accessCode=${accessCode}`;
}
</script>

RoomsController.cs #

private readonly PasswordHasher<Room> _passwordHasher = new PasswordHasher<Room>();

[HttpGet]
public async Task<IActionResult> Detail(int roomId, string accessCode)
{
    // 查找Room，不存在则返回404
    var room = await _roomsService.Query(new RoomsService.RoomQuery()
    {
        RoomId = roomId
    });
    if (room == null)
    {
        return NotFound();
    }

    // 所有者直接允许访问
    var currentUser = await _userManager.GetUserAsync(User);
    if (room.Owner.Id == currentUser.Id)
    {
        var model = new RoomDetailViewModel()
        {
            RoomOwner = currentUser,
            RoomId = roomId,
            RoomName = room.Name
        };
        return View(model);
    }

    // 非所有者验证安全码
    if (string.IsNullOrEmpty(accessCode))
    {
        TempData[$"Error-{roomId}"] = "请输入访问码";
        return RedirectToAction("Index", "Home");
    }

    // 使用哈希比对验证安全码
    var verificationResult = _passwordHasher.VerifyHashedPassword(room, room.AccessCodeHash, accessCode);
    if (verificationResult == PasswordVerificationResult.Failed)
    {
        TempData[$"Error-{roomId}"] = "访问码错误，请重试";
        return RedirectToAction("Index", "Home");
    }

    // 验证通过，返回详情页
    var model = new RoomDetailViewModel()
    {
        RoomOwner = room.Owner,
        RoomId = roomId,
        RoomName = room.Name
    };
    return View(model);
}

额外安全建议 #

• 限制安全码的尝试次数，防止暴力破解
• 可以给安全码设置有效期，增加安全性
• 对敏感的Room详情数据，确保传输过程使用HTTPS

内容的提问来源于stack exchange，提问作者Luca Pacucci