.NET Attribute Misuse: Authorization Bypass

應用程式在類別或方法層級使用 [AllowAnonymous] 屬性略過 [Authorize] 屬性授予的授權。

ASP.NET Core 透過將 [Authorize] 屬性新增到類別或方法，允許應用程式動作要求授權。此外，應用程式類別或方法的指定授權需求也可以透過新增 [AllowAnonymous] 屬性予以略過。當 [AllowAnonymous] 屬性和 [Authorize] 屬性兩者都指定時，會以前者為優先，並略過後者。這可能導致攻擊者對敏感資料和動作進行任意且匿名的存取。

範例 1：以下範例顯示類別層級的 [AllowAnonymous] 屬性覆寫在方法上設定的 [Authorize] 屬性。secretAction() 方法不需要授權，儘管有 [Authorize] 屬性。

...
[AllowAnonymous]
public class Authorization_Test
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

範例 2：以下範例顯示超級類別之類別層級的 [AllowAnonymous] 屬性覆寫在子類別方法上設定的 [Authorize] 屬性。由於繼承的類別 Inherit_AA 具有 [AllowAnonymous] 屬性，因此儘管指定了 [Authorize] 屬性， secretAction() 方法也不需要授權。

...
[AllowAnonymous]
public abstract class Inherit_AA
{
    
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public IActionResult secretAction()
    {
        
    }
}
...

範例 3：下面顯示 [AllowAnonymous] 屬性覆寫在方法層級上具有繼承的 [Authorize] 屬性。由於繼承的方法 secretAction() 具有 [AllowAnonymous] 屬性，因此儘管在覆寫方法上指定了 [Authorize] 屬性，secretAction() 方法也不需要授權。

...
public abstract class Inherit_AA
{
    [AllowAnonymous]
    public abstract IActionResult secretAction()
    {
        
    }
}

public class Authorization_Test:Inherit_AA
{
    [Authorize]
    public override IActionResult secretAction()
    {
        
    }
}
...