Http 403 или 404 для доступа к ограниченному ресурсу WEB?

Question

Мой вопрос очень похож на этот Return “correct” error code, or protect privacy?, но я хотел бы услышать несколько разных ответов.

У нас есть WEB-сайт, большинство страниц которого могут быть посещены неавторизованным пользователем. Но когда пользователь не выполнил вход в систему, пользователь пытается получить доступ к ресурсу (страница), требующему авторизации (пользователь должен иметь роль FooRole), мы автоматически перенаправляем его на страницу входа в систему и после предоставления правильных учетных данных возвращаются к ограниченным ресурсам. Какой веб-сайт должен делать, если пользователь предоставил правильные учетные данные, но его права доступа оказались недостаточными (у него есть BarRole, но не FooRole)?

В текущей реализации мы возвращаем ответ HTTP 403 (запрещен). Но некоторые разработчики утверждают, что код 404 должен быть возвращен, поскольку он обеспечивает лучшую защиту. Пользователь не должен отличать существующие и недоступные ресурсы. С точки зрения безопасности, возможно, лучше вернуть 404, но в описанной ситуации пользователь был перенаправлен на страницу входа и что поведение «подсказывает», что такая страница существует, поэтому она не очень логично возвращает 404 (это мои мысли). Если пользователь уже авторизовался и пытается получить доступ к ограниченным ресурсам (напрямую изменяя URL), то, возможно, он может логически вернуть ошибку 404.

Может быть, такая функция автоматического перенаправления на вход не работает? Можете ли вы предложить мне, какое поведение более «стандартное/хорошее/удобное для пользователя/без взлома» в такой ситуации?

Спасибо!

Answer 1

Я считаю, что больше подходит для возврата точного кода ошибки 403 для ошибок входа.

Что касается вашей проблемы с тем, что какие-либо файлы вообще существуют, «безопасность через неясность» (buzzwords) считается очень плохой моделью безопасности, и пользователю действительно не нужно знать эти URL-адреса, если они не иметь доступ к ним в любом случае (и если они нарушают контроль доступа, я предполагаю, что есть довольно простой способ найти URL-адрес для файлов).

Если важно обфускать имена файлов, я бы рекомендовал вернуть 403 для любого файла в папке (Существующий или нет) для не прошедших проверку пользователей (по сути, вы отказываете им в доступе, чтобы увидеть, что находится в папке, поэтому код ошибки кажется мне законным). Я бы рекомендовал сделать это с помощью обработчика CustomErrors, который отличает, вошли ли вы в систему или нет, прежде чем решить, сколько вам сказать (таким образом, вы все равно сохраняете точные ошибки 404 для людей, прошедших проверку подлинности) или HttpModule, улавливая исключение a 404 выбрасывает и создает другой результат для аутентифицированных и не прошедших проверку пользователей.