W programie ELMAH z MVC 3, Jak mogę ukryć dane wrażliwe formularza z dziennika błędów?

Question

Oto scenariusz ...

Typ użytkownika jego nazwa użytkownika. Typuje "nieprawidłowe" hasło. Obie wartości nazwy użytkownika i hasła są przesyłane do dziennika błędów Elmah poprzez Exception.Context.Request.Form["Password"]. Jest to wartość tylko do odczytu i nie można jej modyfikować.

I nie ... Nie chcę odrzucać wyjątku (niepowodzenie). Dodaliśmy ErrorLog Filtering programowo:

void ErrorLog_Filtering(object sender, ExceptionFilterEventArgs e) 
{ 
    if (e.Exception is LogOnException) 
    { 
    ((HttpContext) e.Context).Request.Form.Remove("Password"); 
    // This is what we want to do, but we can't because it is read-only 
    } 
} 

Ale nie może zmodyfikować Request.Form tak, że hasło jest ukryte przed naszym dzienniku błędów.

Ktoś zetknął się z tym sposobem?

Zasadniczo chcę wszystkich danych błędu bez pola hasła. Rozważaliśmy ręczne logowanie, ale wydawało się, że jest to dużo pracy w porównaniu do ukrywania wrażliwych danych.

Pozdrawiamy facetów. Z góry dziękuję.

Answer 1

Nie możesz tego zrobić, dopóki nie zmodyfikujesz samego źródła. Można oczywiście zmodyfikować konfigurację i dodać do niej pojęcie "elementów wykluczonych", a następnie, gdy klasa Error skopiuje kolekcję z HttpContext, można usunąć wszystkie elementy z tej listy.

Inną alternatywą byłoby użycie czegoś innego, co oczywiście zapewnia bardziej wyraźną kontrolę nad procesem rejestrowania, takim jak EntLib lub log4net. Łatwo jest napisać moduł lub globalną procedurę obsługi wyjątków, aby wykorzystać jedno z tych narzędzi. Co więcej, są one istotne w zakresach poza aplikacjami internetowymi.

Answer 2

połowu wyjątek, a następnie zalogować się coś w ELMAH ręcznie, tak:

catch (LogOnException e) 
{ 
    Elmah.ErrorSignal.FromCurrentContext().Raise(new Exception("Bad Password")); 
} 

Answer 3

Nie można modyfikować kolekcji formularz na zamówienie, ale można modyfikować kolekcji formularz na błąd isntance ELMAH a następnie ręcznie zalogować. To znaczy.

public static class ElmahSensitiveDataFilter 
{ 
    public static void Apply(ExceptionFilterEventArgs e, HttpContext ctx) 
    { 
    var sensitiveFormData = ctx.Request.Form.AllKeys 
      .Where(key => key.Equals("password", StringComparison.OrdinalIgnoreCase)).ToList(); 
    if (sensitiveFormData.Count == 0) 
    { 
     return; 
    } 
    var error = new Error(e.Exception, ctx); 
    sensitiveFormData.ForEach(k => error.Form.Set(k, "*****")); 
    Elmah.ErrorLog.GetDefault(null).Log(error); 
    e.Dismiss(); 
    } 
} 

Następnie w Global.asax

void ErrorLog_Filtering(object sender, ExceptionFilterEventArgs e) 
{ 
    var ctx = e.Context as HttpContext; 
    if(ctx == null) 
    { 
     return; 
    } 
    ElmahSensitiveDataFilter.Apply(e, ctx); 
}