ASP.NET Web应用中如何防止QueryString的Id参数被修改？

嘿，这个需求太常见了——毕竟直接暴露可修改的QueryString参数，很容易被别有用心的人篡改，进而访问不属于他的资源。下面给你几个实用的实现方案，你可以根据自己的业务场景挑最合适的：

方案1：使用数字签名（HMAC）验证参数 #

这是最常用也最可靠的方案之一。核心思路是：生成链接时，把Id和一个只有服务器知道的私密密钥一起生成哈希签名，将Id和签名都放在QueryString里；页面接收请求时，重新用同样的规则生成签名，和链接里的签名对比，不一致就说明参数被篡改了。

生成带签名的链接代码 #

// 封装生成签名的方法
private string GenerateSignature(string id)
{
    // 密钥要存在配置文件（比如web.config）里，绝对不能硬编码！
    string secretKey = ConfigurationManager.AppSettings["QueryStringSignatureKey"];
    string dataToSign = $"Id={id}";
    
    using (var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(secretKey)))
    {
        byte[] hashBytes = hmac.ComputeHash(Encoding.UTF8.GetBytes(dataToSign));
        return Convert.ToBase64String(hashBytes);
    }
}

// 生成邮件里的链接
string targetId = "2";
string signature = GenerateSignature(targetId);
string emailLink = $"http://localhost:7899/Test.aspx?Id={targetId}&Signature={signature}";

页面验证签名代码 #

protected void Page_Load(object sender, EventArgs e)
{
    if (!IsPostBack)
    {
        string receivedId = Request.QueryString["Id"];
        string receivedSignature = Request.QueryString["Signature"];
        
        // 先判断参数是否存在
        if (string.IsNullOrEmpty(receivedId) || string.IsNullOrEmpty(receivedSignature))
        {
            Response.Redirect("InvalidRequest.aspx");
            return;
        }
        
        // 重新计算预期签名
        string expectedSignature = GenerateSignature(receivedId);
        
        // 对比签名（注意用Ordinal比较，避免编码问题）
        if (!receivedSignature.Equals(expectedSignature, StringComparison.Ordinal))
        {
            // 签名不匹配，说明参数被篡改
            Response.Redirect("TamperedRequest.aspx");
            return;
        }
        
        // 验证通过，继续处理业务逻辑
        LoadResourceById(receivedId);
    }
}

优点：安全可靠，只要密钥不泄露，用户无法伪造合法签名；缺点：链接会多一个Signature参数，稍微增加了一点复杂度。

方案2：加密QueryString中的Id #

直接把Id加密后放在链接里，用户看到的是一串加密字符串，就算修改了，解密后也大概率是无效的内容。推荐用对称加密算法（比如AES），效率更高。

加密解密工具方法 #

// 加密方法（AES示例）
private string EncryptId(string plainId, string encryptionKey)
{
    byte[] iv = new byte[16]; // AES的IV向量，也可以配置成固定值或随机生成（如果随机生成要一起传递）
    byte[] encryptedBytes;
    
    using (Aes aes = Aes.Create())
    {
        aes.Key = Encoding.UTF8.GetBytes(encryptionKey);
        aes.IV = iv;
        
        ICryptoTransform encryptor = aes.CreateEncryptor(aes.Key, aes.IV);
        
        using (MemoryStream ms = new MemoryStream())
        {
            using (CryptoStream cs = new CryptoStream(ms, encryptor, CryptoStreamMode.Write))
            {
                using (StreamWriter sw = new StreamWriter(cs))
                {
                    sw.Write(plainId);
                }
                encryptedBytes = ms.ToArray();
            }
        }
    }
    
    return Convert.ToBase64String(encryptedBytes);
}

// 解密方法
private string DecryptId(string encryptedId, string encryptionKey)
{
    byte[] iv = new byte[16];
    byte[] cipherBytes = Convert.FromBase64String(encryptedId);
    string decryptedId;
    
    using (Aes aes = Aes.Create())
    {
        aes.Key = Encoding.UTF8.GetBytes(encryptionKey);
        aes.IV = iv;
        
        ICryptoTransform decryptor = aes.CreateDecryptor(aes.Key, aes.IV);
        
        using (MemoryStream ms = new MemoryStream(cipherBytes))
        {
            using (CryptoStream cs = new CryptoStream(ms, decryptor, CryptoStreamMode.Read))
            {
                using (StreamReader sr = new StreamReader(cs))
                {
                    decryptedId = sr.ReadToEnd();
                }
            }
        }
    }
    
    return decryptedId;
}

生成加密链接与页面验证 #

// 生成链接
string targetId = "2";
string encryptedId = EncryptId(targetId, ConfigurationManager.AppSettings["QueryStringEncryptionKey"]);
string emailLink = $"http://localhost:7899/Test.aspx?EncryptedId={encryptedId}";

// 页面验证
protected void Page_Load(object sender, EventArgs e)
{
    if (!IsPostBack)
    {
        string encryptedId = Request.QueryString["EncryptedId"];
        
        if (string.IsNullOrEmpty(encryptedId))
        {
            Response.Redirect("InvalidRequest.aspx");
            return;
        }
        
        try
        {
            string decryptedId = DecryptId(encryptedId, ConfigurationManager.AppSettings["QueryStringEncryptionKey"]);
            // 额外验证Id是否合法（比如查数据库确认存在）
            if (!IsIdValid(decryptedId))
            {
                Response.Redirect("InvalidResource.aspx");
                return;
            }
            // 继续业务逻辑
            LoadResourceById(decryptedId);
        }
        catch
        {
            // 解密失败，说明参数被篡改
            Response.Redirect("TamperedRequest.aspx");
        }
    }
}

优点：用户看不到真实Id，隐蔽性更好；缺点：需要管理加密密钥，还要处理解密失败的异常情况。

方案3：使用Session/Token存储参数（仅限会话内访问） #

如果这个链接是发给登录用户的，且不需要支持转发，那么可以把Id存在Session里，链接里只带一个临时Token，页面通过Token从Session中获取Id。

生成链接与页面验证 #

// 生成链接
string targetId = "2";
string tempToken = Guid.NewGuid().ToString();
Session[tempToken] = targetId;
string emailLink = $"http://localhost:7899/Test.aspx?Token={tempToken}";

// 页面验证
protected void Page_Load(object sender, EventArgs e)
{
    if (!IsPostBack)
    {
        string tempToken = Request.QueryString["Token"];
        
        if (string.IsNullOrEmpty(tempToken) || Session[tempToken] == null)
        {
            Response.Redirect("InvalidRequest.aspx");
            return;
        }
        
        string targetId = Session[tempToken].ToString();
        Session.Remove(tempToken); // 用完即删，防止重复使用
        
        // 继续业务逻辑
        LoadResourceById(targetId);
    }
}

优点：链接里没有真实Id，安全性高；缺点：依赖Session生命周期，用户跨设备打开链接或会话过期就会失效，不适合需要转发的场景。

必须的兜底措施：权限验证 #

不管用上面哪种方案，一定要加上权限验证！就算参数没被篡改，也要确认当前用户有权限访问这个Id对应的资源。比如：

int currentUserId = (int)Session["CurrentUserId"];
int resourceOwnerId = GetResourceOwnerId(targetId); // 从数据库获取资源所属用户Id

if (currentUserId != resourceOwnerId)
{
    Response.Redirect("AccessDenied.aspx");
    return;
}

这一步是防止用户拿到别人的合法链接后，直接访问不属于自己的资源，是安全体系里的最后一道防线。

内容的提问来源于stack exchange，提问作者Jui Test