按钮禁用状态, _doPostBack仍然可以执行服务器事件

hcp

Button处于Disabled状态, 但是用javascript调用 __doPostBack('<%=btn.UniqueID%>', ''); 仍然可以执行服务器端的OnClick事件, 这算不算一个漏洞?

hcp

sanshi 发表于 2016-7-6 18:00
不是BUG，也不是漏洞，UI仅仅是作为显示状态的呈现，所有JS端的验证都可以绕过去，所以对于安全性高的程序 ...

那你们的控件为什么不能在服务器端触发Onclick事件之前判断一下按钮的状态, 如果是禁用或隐藏的就不予执行呢?
如果照你说的, 我们程序里所有Button的Click事件处理程序里都要先判断一下按钮是否禁用或隐藏. 不麻烦吗?

而且这明显就是个漏洞, 表面上按钮状态是禁用的, 可是后台代码仍然可以被调用, 如果恶意用户通过篡改提交的请求数据, 就可以执行其授权之外的操作.
原生Asp.Net的按钮控件就没有这样的问题.

hcp

sanshi 发表于 2016-7-7 17:28
这个不是漏洞，也不是BUG，道理我上面已经说了。你可以再考虑下

至于你提到的：

你说的有道理, asp.net原生控件的是我记错了, 对不住啊 .