antihacker777, проблема в том, что необходимо, чтобы один пользователь не мог видеть задачи другого пользователя, а Вы не знаете как это реализовать?

antihacker777Просто там все наглядно видно. Что передает.И что?
antihacker777Остается только шифровать строку запроса. Другого оптимального выхода не вижу.Ну будет как в Google Drive: docs.google.com/document/d/1QZvSjyzYNE0W9H8hvqIhRRGc1NN0FPPAP0rUuIJ9SPb, - а что это даст?

carrotikantihacker777пропущено...


Понимаешь так надо....

...понимаю ... в свое время (я уже отошел от веб-формс) писал подобную задачу (реестр - дитейл вью - редактирование) в разных страницах .. через HiddenField/QueryString, потом пришел к сохранению переходных параметров в БД, потом все реализовал на одной страницe и в дуду не дудел ....
...потом все переписал на WebAPI+JQuery+knockout .... :-):)

Задача - это некий ресурс, доступный по протоколу HTTP. Соответсвенно у задачи есть некий URI. Проще надо быть.

carrotik, а где собственно проблема? :)

antihacker777Ребята если передать строку запроса через Server.transfer , то кто как то сможет содержимое строки ?Так что-ли?


Передавай. Но ИМХО это костыль :)

antihacker777Почему костыли ?Юзабилити страдает и потенциальная дыра в безопасности остаётся.

antihacker777ПРи чем тут юзабилити ? Главное что с безопасностью ?Пользователь не видит, что переходит к Task.aspx?id=1234567, теряет возможность скопировать ссылку и потом вернутся к работе, или скинуть кому-то, кто имеет права на просмотр задачи (руководителю например, чтобы обсудить). То есть страдает юзабилити.
При этом возможность перейти по прямой ссылке к Task.aspx?id=1234567 остаётся. То есть потенциальная дыра.

Что тут не понятного?

Наивный чукотский мальчик. Кто-нибудь когда-нибудь обязательно узнает, что можно ходить по прямой ссылке.

Что за хитрый ишью трекер-то пишешь, колись? :)

antihacker777Нечего отправлять линки туда сюда. Пускай нормально заходят если хотят что то увидеть.Очередной программист порешал за пользователей, как им удобнее работать. Ну ну

antihacker777, вот и обсуждай свой костыль с руководством и секьюрити админами. От тебя небось хотят нормальную проверку прав доступа, а не защиту от дурака.

antihacker777skyANAНаивный чукотский мальчик. Кто-нибудь когда-нибудь обязательно узнает, что можно ходить по прямой ссылке.

Что за хитрый ишью трекер-то пишешь, колись? :)

Уже знают. Но как они догоаются как назывются параметры ? Что бы подставлять значение в строку запроса надо знать какие есть параметры и как они называются.Да никто не будет специально догадываться.
Будет какая-нибудь ошибка, в логах засветится строка запроса, или в коде посмотрят при отладке.
Кинут пользователю, чтобы тот подтвердил, что всё нормуль. И накрылась вся твоя безопасность.

antihacker777, да делай как считаешь нужным, не мне же с этим работать. Просто ИМХО это костыль.