.NET Core Razor页Querystring传UserId配合Cookie校验的安全性咨询

你当前的核心校验逻辑本身是有效的，只要满足以下前提即可达到防越权的安全要求：

• 你的Cookie认证已正确配置加密、防篡改规则（.NET Core Cookie认证默认会对Cookie内容进行加密签名，只要你没有手动关闭该配置，就不存在Cookie被用户篡改伪造NameIdentifier Claim的可能）
• 登录写入Claim时，NameIdentifier对应的值是真实的用户ID，不存在赋值错误的情况
• 校验不通过时你正确返回了403禁止访问响应，而非继续执行后续业务逻辑

但现有方案存在明显缺陷：

• 每个需要校验的页面都要重复编写校验代码，容易出现遗漏导致越权漏洞
• 重复的类型转换、Claim获取逻辑容易出现编码错误，比如未登录状态下Claim为null时Convert.ToInt32会得到默认值0，可能出现逻辑漏洞

方案1：从根源消除UserId传参（最优） #

对于修改个人资料、修改密码这类仅允许当前登录用户操作的页面，完全不需要在URL中传递UserId参数，直接从HttpContext.User的Claim中读取当前登录用户的ID进行业务处理，路径可简化为/User/Profile、/User/UpdatePassword，从根源上杜绝了参数篡改的可能性，不需要额外做校验。

方案2：自定义授权策略（适合有通用校验需求的场景） #

如果你确实有场景需要在URL中传递UserId（比如管理员需要查看其他用户资料的场景），可以通过ASP.NET Core自带的授权系统实现通用校验，不需要每个页面重复写代码：

1. 首先定义匹配校验的需求类和处理逻辑：

public class MatchUserIdRequirement : IAuthorizationRequirement { }

public class MatchUserIdHandler : AuthorizationHandler<MatchUserIdRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, MatchUserIdRequirement requirement)
    {
        // 先判断是否已登录
        if (!context.User.Identity.IsAuthenticated)
        {
            context.Fail();
            return Task.CompletedTask;
        }
        // 从路由/QueryString中获取UserId
        if (context.Resource is PageContext pageContext)
        {
            var routeUserId = pageContext.RouteData.Values["UserID"]?.ToString() ?? pageContext.HttpContext.Request.Query["UserID"].ToString();
            if (string.IsNullOrEmpty(routeUserId) || !int.TryParse(routeUserId, out int userId))
            {
                context.Fail();
                return Task.CompletedTask;
            }
            // 获取Cookie中的用户ID
            var claimUserId = context.User.FindFirstValue(ClaimTypes.NameIdentifier);
            if (int.TryParse(claimUserId, out int cookieUserId) && userId == cookieUserId)
            {
                // 管理员可豁免校验，按需添加
                if (context.User.IsInRole("Admin"))
                {
                    context.Succeed(requirement);
                    return Task.CompletedTask;
                }
                context.Succeed(requirement);
                return Task.CompletedTask;
            }
        }
        context.Fail();
        return Task.CompletedTask;
    }
}

2. 在Program.cs/Startup.cs中注册授权策略：

services.AddAuthorization(options =>
{
    options.AddPolicy("MatchUserId", policy => policy.Requirements.Add(new MatchUserIdRequirement()));
});
services.AddScoped<IAuthorizationHandler, MatchUserIdHandler>();

3. 只需要在对应的PageModel上添加特性即可自动完成校验，不需要写重复逻辑：

[Authorize(Policy = "MatchUserId")]
public class UpdatePasswordModel : PageModel
{
    // 页面逻辑无需再单独校验UserId
}

方案3：基类PageModel封装校验逻辑（轻量化方案） #

如果不想引入自定义授权策略，也可以把校验逻辑封装到父类PageModel中，所有需要校验的页面继承该父类即可：

public class AuthorizedPageModel : PageModel
{
    public override void OnPageHandlerExecuting(PageHandlerExecutingContext context)
    {
        base.OnPageHandlerExecuting(context);
        if (!User.Identity.IsAuthenticated)
        {
            context.Result = Forbid();
            return;
        }
        if (context.HandlerArguments.TryGetValue("UserID", out var userIdObj) && userIdObj is int userId)
        {
            var claimUserId = User.FindFirstValue(ClaimTypes.NameIdentifier);
            if (!int.TryParse(claimUserId, out int cookieUserId) || userId != cookieUserId)
            {
                // 管理员豁免逻辑按需添加
                context.Result = Forbid();
                return;
            }
        }
    }
}

• 校验不通过时统一返回403 Forbidden响应，不要返回包含错误细节的响应，避免泄露系统逻辑
• 不要关闭Cookie认证的默认加密签名配置，防止Cookie被篡改伪造身份
• 如果涉及多租户等复杂场景，可以在上述方案基础上扩展租户ID的校验逻辑

内容的提问来源于stack exchange，提问作者tcode