1.前言
CSRF（Cross-site request forgery）跨站请求伪造，ASP.NET MVC 应用通过使用AJAX请求来提升用户体验，浏览器开发者工具可以一览众山小,就很容易伪造了请求对应用进行攻击,从而泄露核心数据,导致安全问题。微软自带AntiForgeryToken可以解决，而且语法简单（AJAX请求发起时传递给后台一个字符串，然后在Filter中进行校验）
2.场景如下
为了验证一个来自form post请求，还需要在目标action上增加自定义[AntiForgeryToken]特性，下面会介绍到这个自定义特性用法
/// <summary> /// 首页 /// </summary> public class HomeController : Controller { /// <summary> /// 用户登录了111111 /// </summary> /// <returns></returns> public ActionResult Index() { return View(); } /// <summary> /// Your application description page. /// </summary> /// <returns></returns> public ActionResult About() { ViewBag.Message = "Your application description page."; return View(); } /// <summary> /// Your contact page. /// </summary> /// <param name="name">姓名</param> /// <returns></returns> public ActionResult Contact(string name) { ViewBag.Message = "Your contact page."; return View(); } /// <summary> /// /// </summary> /// <returns></returns> public ActionResult Person() { return View(); } /// <summary> /// /// </summary> /// <param name="Name"></param> /// <param name="Age"></param> /// <returns></returns> [HttpPost] [AntiForgeryToken] public ActionResult UserInfo(string Name,string Age) { return Json(Name + Age); } }
前端html中如何防范？
一句语法糖解决所有问题，通过在html页面上或者script中使用 Html.AntiForgeryToken(),然后赋值给ajax中headers
html页面上
1.html中使用@Html.AntiForgeryToken(),然后通过jquery中name，获取隐藏域value的值,再赋值给ajax中headers
2.var headToken=$('input[name="__RequestVerificationToken"]').val()；
script中
<html>
<head>
<meta name="viewport" content="width=device-width" />
<title>Person</title>
<script src="~/Scripts/jquery-3.3.1.min.js"></script>
<script src="~/Scripts/jquery.validate.js"></script>
<script src="~/Scripts/jquery.validate.unobtrusive.js"></script>
</head>
<body>
<form id="form1">
@*@Html.AntiForgeryToken()*@
<div class="form-horizontal">
<div class="form-group">
<div>
姓名：<input type="text" name="name" value="" id="name" />
密码: <input type="text" name="age" value="" id="age" />
</div>
<div class="col-md-offset-2 col-md-10">
<input type="button" id="save" value="Create" class="btn btn-default" />
</div>
</div>
</div>
</form>
<script>
$(function () {
//获取防伪标记
var token = $('@Html.AntiForgeryToken()').val();
var headers = {};
//防伪标记放入headers
//也可以将防伪标记放入data
headers["__RequestVerificationToken"] = token;
$("#save").click(function () {
$.ajax({
type: 'POST',
url: '/Home/UserInfo',
cache: false,
headers: headers,
data: { Name: $("#name").val(), Age: $("#age").val() },
success: function (data) {
alert(data)
},
error: function () {
alert("Error")
}
});
})
});
</script>
</body>
</html>
3.自定义AuthorizeAttribute属性
它主要检查
(1)请求的是否包含一个约定的AntiForgery名的cookie
(2)请求Headers是否有一个["__RequestVerificationToken"]，并且不能为空，约定的AntiForgery名的cookie和Headers中的值是否匹配
public class AntiForgeryToken : AuthorizeAttribute { /// <summary> /// /// </summary> /// <param name="filterContext"></param> public override void OnAuthorization(AuthorizationContext filterContext) { var request = filterContext.HttpContext.Request; if (request.IsAjaxRequest()) { var antiForgeryCookie = request.Cookies[AntiForgeryConfig.CookieName]; var cookieValue = antiForgeryCookie != null ? antiForgeryCookie.Value : null; var headerValue = request.Headers["__RequestVerificationToken"]; //获取head中的值 如果为空直接拒绝不往下走 if (string.IsNullOrEmpty(headerValue)) { base.OnAuthorization(filterContext); return; } //从cookies 和 Headers 中 验证防伪标记 AntiForgery.Validate(cookieValue,headerValue); } } }