C#에서 개체를 serialize하고 변조를 방지하는 방법?

Question

다음과 같이 C# 클래스가 있습니다.

public class TestObj 
{ 
    private int intval; 
    private string stringval; 
    private int[] intarray; 
    private string[] stringarray; 

    //... public properties not shown here 
} 

이 클래스의 인스턴스를 문자열로 serialize하고자합니다.

추가 :

이 문자열을 QueryString 매개 변수로 URL에 추가합니다. 그래서 문자열을 쉽게 조작 할 수 없도록 노력하고 싶습니다.

또한 직렬화 방법이 효율적이어서 문자열의 크기가 minmal입니다.

특정 .NET Framework 클래스/메서드에 대한 제안 사항을 사용해야합니까?

Answer 1

1) 직렬화하려면

• 비밀 문자열, 예를 들어, 함께 가자 :

  public String SerializeObject(TestObj object) 
  { 
       String Serialized = String.Empty; 
       MemoryStream memoryStream = new MemoryStream (); 
       XmlSerializer xs = new XmlSerializer(typeof(TestObj)); 
       XmlTextWriter xmlTextWriter = new XmlTextWriter (memoryStream, Encoding.UTF8); 
       xs.Serialize (xmlTextWriter, object); 
       memoryStream = (MemoryStream) xmlTextWriter.BaseStream; 
       Serialized = UTF8Encoding.GetString(memoryStream.ToArray()); 
       return Serialized; 
  } 
  

  2) 침해를 방지하기 위해 "MySecretWord".

• 직렬화 된 객체 인스턴스를 문자열로 가져 와서 비밀 단어를 추가하십시오.
• 해시 문자열 또한 "MySecretWord"비밀을 알고있는 (수신 측에 쿼리 문자열

에 해시를 추가

(예를 들어, SHA 또는 레무스에 의해 제안)을 HMAC를 (사용) 문자열)을 사용하면 해시를 제거하고 원래 직렬화 된 인스턴스를 가져 와서 알려진 비밀 문자열을 추가하고 다시 해시 할 수 있습니다. 그런 다음 두 해시가 동일한 지 비교합니다. 동등한 경우 문자열이 수정되지 않았습니다.

Url/Base64 문자열을 인코딩해야 쿼리 문자열로 사용할 수 있습니다. 이는 전송 된 것과 정확히 일치하도록 쿼리 문자열을 필요로 할 때도 중요합니다.

Answer 2

스트림에 서명하고 쿼리에 서명을 추가하십시오. HMACSHA1과 같은 HMAC 서명 알고리즘을 사용하십시오. 서명하고 서명을 확인하려면 클라이언트와 서버 사이에 비밀이 있어야합니다.