如何防止asp.net webform中的CSRF攻击？

Question

如何防止 ASP.NET WebForms 中的 CSRF (Cross-site Request Forgery) 攻击？

在 ASP.NET MVC 中有没有类似[ValidateAntiForgeryToken] 的东西？

Answer 1

当您谈论保护 ViewState 时，您可以使用“ViewStateUserKey”。

基本上，您需要为每个用户使用一个特定的密钥，该密钥源自 ASP.NET 会话。这是一个例子：

/// <summary>
///     Raises the <see cref="E:System.Web.UI.Control.Init" /> event to initialize the page.
/// </summary>
/// <param name="e">
///     An <see cref="T:System.EventArgs" /> that contains the event data.
/// </param>
protected override void OnInit(EventArgs e) {
    base.OnInit(e);

    // Validate whether ViewState contains the MAC fingerprint
    // Without a fingerprint, it's impossible to prevent CSRF.
    if (!Page.EnableViewStateMac) {
        throw new InvalidOperationException("The page does NOT have the MAC enabled and the view state is therefore vulnerable to tampering.");
    }

    ViewStateUserKey = Session.SessionID;
}

您可以了解更多信息，例如from the Microsoft Docs.