ASP.NET MVC: secure unbefugt eine anonyme Aktion machen

Question

Lassen Sie uns sagen, dass ich die folgenden zwei Aktionsmethoden in einem meiner Controller haben:

[AllowAnonymous] 
public async Task<ViewResult> ClearAlerts(string userId) 
{ 
    // Clear the alerts 
} 

[AllowAnonymous] 
public async Task<ViewResult> DenyAlerts(string userId) 
{ 
    // Deny the alerts 
} 

Links zu diesen beiden Handlungsmethoden werden in einer E-Mail gesendet durch meine Bewerbung an eine einzelne Person. userId ist eine GUID-Zeichenfolge, die vom Identity-Framework generiert wird und als Abfrageparameter in die beiden Hyperlinks in der E-Mail eingefügt wird.

Ich bin besorgt, dass diese anonymen Methoden von jemand anderem als der Person, die die E-Mail erhält, aufgerufen werden können.

Ich habe ein paar Fragen:

1. Gibt es eine Möglichkeit eine anonyme Aktionsmethode zugänglich nur eine einzige Person zu machen, ohne Genehmigung Benutzer zu erfordern?
2. Wie groß ist die Wahrscheinlichkeit, dass jemand eine gültige userId "rate" diese Methoden damit aufrufen könnte?
3. Sollte ich nur in den sauren Apfel beißen und für diese Aktionen eine Genehmigung benötigen?

Jeder Rat würde geschätzt werden.

Answer 1

Es ist sehr unwahrscheinlich, dass jemand würde eine gültige userId erraten, ich würde mir keine Sorgen machen.

Ich schätze, Sie werden nach einem gültigen Benutzer mit usermanager suchen. Wenn der Benutzer also nicht gefunden wird, bedeutet dies, dass jemand versucht hat, "falsch" auf die Aktionsmethode zuzugreifen. Ignorieren Sie einfach und leiten Sie sie auf eine andere Seite weiter. Wie folgt:

[AllowAnonymous] 
public async Task<ViewResult> ClearAlerts(string userId) 
{ 

     if (string.IsNullOrEmpty(userId)) 
     { 
      return RedirectToAction("Index","Home"); 
     } 

     var user = await UserManager.FindByIdAsync(userId); 

     if(user == null) 
     { 
      return RedirectToAction("Index","Home"); 
     } 

     // do stuff 
}