IIS是否记录POST Action方法的参数？敏感参数如何防护？

一、IIS日志默认是否会记录POST参数？ #

默认情况下，IIS的标准日志（如W3C格式）不会记录POST请求体中的参数，只会记录请求URL、HTTP方法、状态码、客户端IP、请求时间等元数据。

但有两个需要注意的例外：

• 如果你的POST请求把username、password放在URL查询字符串中（比如/UserInfo?username=xxx&password=xxx），那么IIS日志会完整记录URL，这两个参数就会被写入日志。
• 如果自定义配置了IIS日志字段，或者安装了第三方日志模块，可能会开启记录请求体的功能，这种情况下敏感参数有被记录的风险。

二、如何保护敏感参数不被泄露？ #

• 强制使用HTTPS：加密整个请求传输过程，即使参数意外被记录，也是加密后的密文，无法直接解析。
• 禁止在URL中传递敏感参数：确保username和password只通过POST请求体（如form表单、JSON格式）传递，绝不放在URL查询字符串里。
• 检查并限制IIS日志字段：确认IIS日志配置中没有开启请求体相关的日志字段（默认未开启），避免不必要的内容被记录。
• 使用模型绑定封装敏感参数：创建专门的凭据模型类，通过[FromBody]标记接收参数，避免直接在Action方法参数中暴露敏感字段，示例代码：

  public class LoginCredentials
  {
      public string Username { get; set; }
      public string Password { get; set; }
  }
  
  [HttpPost]
  public ActionResult UserInfo([FromBody] LoginCredentials credentials)
  {
      // 后续验证逻辑
  }
  

• 过滤应用日志中的敏感数据：如果你的应用有自定义日志（如NLog、Serilog），配置日志规则，排除password等敏感字段的记录，避免在应用日志中泄露。
• 严格控制日志文件权限：仅允许授权运维人员访问IIS日志文件，降低日志泄露后的风险。

内容的提问来源于stack exchange，提问作者John John