ASP.NET MVC 不良做法 : Controller Action Not Restricted to POST in Asp.Net MVc

Question

我用 Fortify SCA 扫描了我的源代码

我在检查 Fortify 报告时遇到了 ASP.NET MVC 不良做法: Controller 操作不限于 POST(API 滥用、结构)

Fortify 发现高级错误说

Recommendations:

The following controller action accepts only the POST verb because it has the
[HttpPost]     attribute:


[HttpPost]
public ActionResult UpdateWidget(Model model) 
{
// ... controller logic
}

但是我看了那行代码。它包含

[HtttpPost]

属性。

是不是误报？

Answer 1

Fortify SCA 本身给出了两个对比语句。

ASP.NET MVC 不良做法: Controller 操作不限于 POST(API 滥用、结构性)

建议:

The following controller action accepts only the POST verb because it has the
[HttpPost]     attribute:

如果您在 UpdateWidget 方法中使用模型更新模型或数据库，请添加更安全的 HttpPost 操作属性。如果您确定已添加 HttpPost 操作属性，请忽略 Fortify 错误