如何防止地址栏直接访问ashx，或其他跨域访问

[xiaoyehua]

用某html页面上，用jq的ajax访问ashx页面。
这样ashx的地址就暴露出来了。

特来请假解决办法。

PS：该页面是面向大众，无会员限制一说。

[娃都会打酱油了]

没限制那就让别人访问呗 ashx本质和aspx没任何区别，你都允许别人看aspx了，干嘛不允许别人看ashx呢？

[以专业开发人员为伍]

你们的设计这个ashx的程序员如果一味地想偷懒地话，干脆换个人吧。

[以专业开发人员为伍]

服务端安全性首先是“统一的”解决方案。要么都没有任何安全标准，要么可能都同时上一个台阶。 面向大众的东西那么就“面向大众了”，还能怎么现象矛盾地不让大众访问呢？大众并不傻，群众的聪明劲肯定比任何公司的程序员都强大许多的，所以公司的程序员应该懂得设计一些高强度的程序，不要偷懒。

[xiaoyehua]

不懂2楼啥意思，技术回帖一味提出嘲讽的语句，干脆换个人吧。

[zj25810]

如果你非得要实现这种所谓的怕暴露关键ashx地址或其他跨域访问的域名。你JQ的ajax可以先调用本页面后台方法或者一个无关紧要的ashx什么的，再从方法里面去调用ashx。

[xiaoyehua]

感谢有技术含量的回帖。不是每个人的技术水平都如4楼你这般强大，很可能在你认为理所当然的道理，在某些人（比如我）看来就隔行如隔山。 目前的情况就这样，程序员水平差，公司没钱换，难道公司就倒闭算了？这个是解决问题的办法吗？ 你和你老婆吵架，你是选择让步或者其他解决办法？还是说直接离婚？ 总结：我就是不懂，才来问的，请不要告诉我：不懂就换人之类，然并卵的解答。

[-Arvin]

ฌููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููููู็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็็　<br>跨域写定指定能访问的域名

[於黾]

既然是谁都可以访问,暴露了又会有什么问题??

[xiaoyehua]

7楼的这个具体说下如何实现的？谢谢在哪里配置还是指定？

[zj25810]

指定域名在js里面就能操作，document.referrer为打开你当前页的url，也就是上一个页面。如果是浏览器直接打开的，document.referrer为“”

[qq_36204504]

楼主的帖子很长时间了，我发这个未必能帮到楼主，不过我有个想法可以让以后遇到问题的参考一下， 我做这个的做法是给ashx做访问授权验证，简单的做法是我要访问这个地址的时候是通过参数例如xxx.ashx?id=1&key=xxxxxx 那么这个key就是加密的访问秘钥，这个key值是在调用的页面生成的，用最简单的对称加密或者可逆加密算法都行，加密前的原文是1-2016-09-21 20：30 用这个数字+时间戳的方式加密，前面的数字是跟URL其他参数做对比，时间戳是验证秘钥的有效期 页面这个加密后传递给ashx文件后那边解密，可以很大程度上确保ashx文件不被任意使用， 加密这块不是绝对的主要是个思路，觉得一种加密不安全可以采用多种加密算法重复加密。 以上是我处理相关问题的解决办法。 在这顺便提一下二楼，这个头像充斥在整个论坛，他的评论都是这样中国式打官腔，你是技术大牛就告诉小弟们一点你的经验或者思路，如果装B就回家装去，换换头像吧，看到这张脸都想吐

[暂时不想说]

引用 2 楼 sp1234 的回复:

你们的设计这个ashx的程序员如果一味地想偷懒地话，干脆换个人吧。

说了半天，答非所问

[暂时不想说]

引用 4 楼 sp1234 的回复:

服务端安全性首先是“统一的”解决方案。要么都没有任何安全标准，要么可能都同时上一个台阶。 面向大众的东西那么就“面向大众了”，还能怎么现象矛盾地不让大众访问呢？大众并不傻，群众的聪明劲肯定比任何公司的程序员都强大许多的，所以公司的程序员应该懂得设计一些高强度的程序，不要偷懒。

还是 答非所问

[暂时不想说]

引用 8 楼 Z65443344 的回复:

既然是谁都可以访问,暴露了又会有什么问题??

有问题，当然有问题