仅在运行调试器时出现防伪令牌异常答案

【问题标题】：Antiforgery token exception only when debugger is run仅在运行调试器时出现防伪令牌异常
【发布时间】：2011-07-15 07:31:33
【问题描述】：

我有一个 mvc2 应用程序，它通过 iframe 提供内容。 iframed 页面只是一个表单。它有一个请求验证令牌。在开发人员使用 Visual Studio 2005 调试器之前，一切都可以跨域运行。一旦他们这样做，我就会收到以下错误详细信息。

Exception: 
System.Web.Mvc.HttpAntiForgeryException : A required anti-forgery token was not supplied or was invalid.

Stack Trace:
at System.Web.Mvc.ValidateAntiForgeryTokenAttribute.OnAuthorization(AuthorizationContext filterContext) 
at System.Web.Mvc.ControllerActionInvoker.InvokeAuthorizationFilters(ControllerContext controllerContext, IList`1 filters, ActionDescriptor actionDescriptor) 
at System.Web.Mvc.ControllerActionInvoker.InvokeAction(ControllerContext controllerContext, String actionName)

Source:
System.Web.Mvc  

Location:
Void OnAuthorization(System.Web.Mvc.AuthorizationContext)

Url:
https://mydomain.com/Portal/Framed/NewQuickPay/yFkYAA!!-OSlvtw!!-4f560479-96f2-4578-8804-a757d4913f52


Path:
D:\Inetpub\wwwroot\Portal\

Referrer:
https://mydomain.com/portal/Framed/Index/yFkYAA!!-OSlvtw!!-4f560479-96f2-4578-8804-a757d4913f52/?amount=2861.43


Server Name:
/* OMITTED */   

IP Address:
/* OMITTED */

User Agent:
Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; MDDR; .NET4.0C; .NET CLR 1.1.4322)

Is Authenticated:
False   

Http Method:
POST

Form Data
/* OMITTED */

__RequestVerificationToken  EoJfaqoiWFUnbJFIQQeXoCeUdtVKpfX7RB0LfUXoTzRbrwK3ZYr6ZjT2ldsNGqVuB+3Vtc3uiRZoJiF+VAi7v7kdEy/sCb6jI9stzTzz/hRh3emTzBh61W9+GkFlEkxEVID8Bg==

Cookies
/* NONE */

我们已经删除了所有的cookies，重启了机器，重启了visual studio，调试器还是会导致这个错误。

我已将声明的机器密钥添加到 web.config。我不确定它还能是什么。仅当调试器正在运行并且他们使用 Visual Studio 2005 时才会发生。

【问题讨论】：

经过进一步调查，这个问题只在Windows 7上运行时出现在IE中。Chrome和firefox都可以。

标签： asp.net-mvc-2 iframe visual-studio-2005 debugging antiforgerytoken

【解决方案1】：

我找到了答案。我的内容是通过跨域 iframe 呈现的。根据Adam Young，IE 会自动阻止第三方 cookie，除非你在 header 中定义了 P3P 策略。

我添加了代码以将 p3p 策略注入到标头中，并从我在 iframe 中使用的每个操作中调用它。到目前为止，我们还没有看到这个错误出现。我希望这个解决方案对其他人有所帮助。

public static void SetP3PCompactPolicy()
{
    HttpContext.Current.Response.AddHeader("p3p", 
    "CP=\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\"");
}

我还定义了一个machine key，虽然我不确定这是否必要。

【讨论】：