Как разрешить POST запрос только от определенного сервера в asp.net?

Question

[Вадим]

Нужно разрешить только от одного сервера принимать POST запросы, например, я запрещаю пользователю использовать GET запрос к определенному методу действия но ему же никто не мешает написать скрипт, который пошлет POST к закрытому методу.

Comments

[Валерий Абакумов]

Здравствуйте! А что Вы имеете в виду под фразой "разрешить только от одного сервера"?

[Вадим]

Валерий Абакумов: Принимать только те запросы, которые приходят из под конкретного домена (доменного имени)

[Валерий Абакумов]

Вадим Вадим, немного неясна Ваша ситуация. Распишите, пожалуйста, подробнее. И что понимается под "закрытый метод"? В каких случаях Вам необходимо принимать запросы от другого сервера? Это Ваш сервер?

[Вадим]

Валерий Абакумов: Например ситуация, я генерирую суперуниверсальный ключ и отправляю его куда-нибудь (например, делаю пост-запрос в платежной системе), сторонний сервер обрабатывает его и возвращает его обратно...Вот, каким образом мне узнать, что именно тот сервер, которому я отправлял этот ключ, вернул мне его, а не какой-нибудь подставной?

[Валерий Абакумов]

Вадим: как Вы отправляете запрос? на клиенте с помощью $.ajax? или с серверной стороны (прямо из кода C#)? Как у Вас сейчас реализован прием ответа? Если есть примеры кода (с запросом и с ожиданием ответа), то был бы Вам признателен за приведение этих примеров (можно в самом описании вопроса под заголовком).

[Вадим]

Валерий Абакумов: ок

Answer 1

[Вадим]

Я делаю submit со страницы html, и в качестве одного из параметров я указываю адрес приема ответа. После обработки сторонняя система посылает запрос по этому адресу.

<form method="post" action="@Model.action_url" id="payForm" name="form1">
       <input type="hidden" name="backurl" value="@Model.backurl">
</form>

ну и после сабмита, например по адресу /TestController/TestMethod будет происходить обработка.

Comments

[Валерий Абакумов]

Вадим Вадим, правильно ли я Вас понял: у Вас есть форма, которая по посылает запрос на сайт сторонней системы, скажем, на "www.company.ru/action". В результате обработки этого запроса на url Вашего web-приложения, например, "www.mysite.ru/handle_action", приходит запрос (как раз от этой системы), и Вам нужно точно быть уверенным, что этот запрос пришел именно с сайта www.company.ru, а не с какого-нибудь другого сайта, например, www.companyfake.com. Все верно?

[Вадим]

Валерий Абакумов: Да, именно так

[Валерий Абакумов]

Вадим Вадим, в таком случае, Алексей Алексей Немиро Вам правильно подсказал - в коде просто анализируете объект Request, в частности, IP-адрес, с которого пришел запрос. Честно говоря, другие способы пока что не могу представить.