asp.net – 重定向到一个页面,其endResponse为true VS CompleteR

为了证明我使用Firefox的NoRedirect插件来保存重定向.然后我测试了两个案例,结果如下：

我有一个包含该文本的简单页面

<form id="form1" runat="server">
<div>
I am making a redirect - you must NOT see this text.
</div>
</form>

然后在页面加载尝试使用两种情况进行重定向：

第一种情况,使用Complete Request();

try
    {
        // redirect with false that did not throw exception
        Response.Redirect("SecondEndPage.aspx",false);
        // complete the Request
        HttpContext.Current.ApplicationInstance.CompleteRequest();
    }
    catch (Exception x)
    {

    }

繁荣,你可以在页面内看到什么！

第二种情况

try
{
    // this is throw the ThreadAbortException exception
    Response.Redirect("SecondEndPage.aspx",true);
}
catch (ThreadAbortException)
{
    // ignore it because we know that come from the redirect
}
catch (Exception x)
{

}

现在没有显示.

因此,如果您不喜欢黑客在您的页面上看到什么,您必须使用endResponse将其调用为true并停止进行其他处理 – 例如从函数返回而不是继续.

例如,如果您检查用户是否已通过身份验证,他可以看到该页面,或者如果不是,则必须重定向到登录,如果您尝试将endResponse重定向到false,则甚至在登录中,然后持有黑客可以看到的重定向 – 什么你相信不能因为你使用重定向.

我的基本观点是,如果您不停止将数据发送回浏览器,则显示存在的安全线程.重定向是浏览器的标题和指令,但同时您需要停止发送任何其他数据,您必须停止发送页面的任何其他部分.