.NET Attribute Misuse: Authorization Bypass

应用程序绕过通过 [Authorize] 属性授予的授权，同时在类或方法级别使用 [AllowAnonymous] 属性。

ASP.NET Core 通过对类或方法添加 [Authorize] 属性，使应用程序操作需要授权。此外，通过添加 [AllowAnonymous] 属性，可以绕过应用程序类或方法的指定授权要求。当同时指定两个属性时，[AllowAnonymous] 属性优先并绕过 [Authorize] 属性。这可能会导致攻击者对敏感数据和操作进行任意匿名访问。

示例 1：以下是在类级别设置的 [AllowAnonymous] 属性覆盖在方法级别设置的 [Authorize] 属性的示例。尽管具有 [Authorize] 属性，secretAction() 方法也不需要授权。

...
[AllowAnonymous]
public class Authorization_Test
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

示例 2：以下是在超类的类级别设置的 [AllowAnonymous] 属性覆盖在子类的方法级别设置的 [Authorize] 属性的示例。由于继承的类 Inherit_AA 具有 [AllowAnonymous] 属性，因此尽管指定了 [Authorize] 属性，secretAction() 方法也不需要授权。

...
[AllowAnonymous]
public abstract class Inherit_AA
{
    
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

示例 3：以下是 [AllowAnonymous] 属性覆盖在继承的方法级别设置的 [Authorize] 属性的示例。由于继承的方法 secretAction() 具有 [AllowAnonymous] 属性，因此尽管在覆盖方法级别指定了 [Authorize] 属性，secretAction() 方法也不需要授权。

...
public abstract class Inherit_AA
{
    [AllowAnonymous]
    public abstract IActionResult secretAction()
    {
        
    }
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public override IActionResult secretAction()
    {
        
    }
}
...