Web服务的垃圾邮件能力和安全性

Question

我正在构建一个ASP.NET Web应用程序，该应用程序具有许多用于公共用户注册并输入数据以保存到数据库中的窗体。我一直想深入研究真正的AJAX，所以我将许多事务写成RESTful WCF Web服务。诸如新用户注册，用户登录和简单表单提交等事务都是通过AJAX完成的。

在代码审查团队成员反对的基础上，这种方法是，

“它比全回传不太安全，因为.NET有‘安全措施’像ViewState的防止滥用客户从锤击服务器。”

• 请问这种说法有可取之处？
• 我通过使用REST风格的Web服务将应用程序暴露给滥用还有多少如果我使用了完整的回传？

我不一定在寻找.NET，WCF甚至是ViewState的具体回应，尽管这些回应肯定会与我的特定情况更相关。我正在寻找答案来解决技术方法本身 - 而不是它们的实现。无需验证授权即可修改任何用户帐户的Web服务显然是一个糟糕的实现。 “完整回发”页面可能具有同样糟糕的实现。因此这个论点既不在这里也不在那里。

REST风格的Web服务（或一般的Web服务）有什么内在的东西让它们比传统的.net回传更不安全？

Answer 1

您的团队成员不正确。

ViewState有没有与安全有关。

事实上，RESTful Web服务比ASP.Net页面更好的性能，因为它们涉及发送更少的停机线，因为他们没有ASPX的开销（ViewState中）

但是，你这样做需要防止ASP.Net非AJAX模型缓解的CSRF攻击。