AntiForgery 令牌在 NET46 上使用 ASP.NET5 Web API 而没有 System.Web.Helpers

Question

尝试在 ASP.NET5 (aka vNext) API 上实现 AntiForgery

我找到的所有文章都来自this article，并使用了System.Web.Helpers.AntiForgery.GetTokens，这不应该是ASP.NET5的方式

private static string GetTokenHeaderValue() 
{
   string cookieToken, formToken;
   System.Web.Helpers.AntiForgery.GetTokens(null, out cookieToken, out formToken);
   return cookieToken + ":" + formToken;
}

是否有任何实现实际上展示了如何在 ASP.NET5 中检索这些令牌

其他来源ASP.NET5 AntiForgery Source Code

Answer 1

现在有一个sample in the source code。该示例使用 Angular 1.x。在该示例的基础上，通过使用过滤器进行验证，这是一个粗略的示例。 Startup 需要设置令牌：

public void Configure(IApplicationBuilder app, IAntiforgery antiforgery)
{
    app.Use(next => context =>
    {
        if (!context.Request.Path.Value.StartsWith("/api/"))
        {
            // We can send the request token as a JavaScript-readable cookie, and Angular will use it by default.
            var tokens = antiforgery.GetAndStoreTokens(context);
            context.Response.Cookies.Append("XSRF-TOKEN", tokens.RequestToken, new CookieOptions() { HttpOnly = false });
        }

        return next(context);
    });
    …
}

然后可以使用过滤器来验证令牌：

public class AntiforgeryValidationFilter : IAsyncActionFilter
{
    private readonly IAntiforgery antiforgery;

    public AntiforgeryValidationFilter(IAntiforgery antiforgery)
    {
        this.antiforgery = antiforgery;
    }

    public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
    {
        if (context.HttpContext.Request.Path.Value.StartsWith("/api/"))
        {
            await antiforgery.ValidateRequestAsync(context.HttpContext);
        }
        await next();
    }
}

然后在Startup注册过滤器：

public void ConfigureServices(IServiceCollection services)
{
    // Angular's default header name for sending the XSRF token.
    services.AddAntiforgery(options => options.HeaderName = "X-XSRF-TOKEN");

    services
        .AddMvc(options =>
            options.Filters.Add(typeof(AntiforgeryValidationFilter)))
        …
}

Answer 2

使用 MVC 实现此功能的另一种方法是使用 HTML 帮助器获取视图上的令牌，该令牌创建 cookie 和隐藏的输入字段令牌。

<form>
@Html.AntiForgeryToken()
</form>

HTML 输出：

<input name="__RequestVerificationToken" type="hidden" value="*** />

现在表单标记已经存在，我们可以在标头中发送标记或将其添加到 API 期望的模型中。可以使用处理自定义 Antiforgery 令牌验证的 ActionFilter 来保护 API。 [Authorize] 的工作原理类似

[ValidateAntiForgeryToken]
public class MyController : ApiController

逻辑是读取可以在其中找到 cookie 和标头值标记的标头。然后可以使用对

的调用进行评估

AntiForgery.Validate(cookieToken, headerToken);

然后过滤器可以接受或拒绝请求。

通过返回拒绝：

HttpStatusCode.Forbidden

Answer 3

在控制器生成

using Microsoft.AspNet.Mvc;
using Microsoft.Framework.DependencyInjection;

namespace MyApp.App.Controllers
{
    public class MyController : Controller
    {
        public string GetAntiForgeryTokens()
        {
            var antiForgery = Context.RequestServices.GetService<AntiForgery>();
            AntiForgeryTokenSet antiForgeryTokenSet = antiForgery.GetTokens(Context, null);
            string output = antiForgeryTokenSet.CookieToken + ":" + antiForgeryTokenSet.FormToken;
            return output;
        }
    }    
}

在视图中生成

@inject AntiForgery antiForgery
@functions
{
    public string GetAntiForgeryTokens()
    {
        AntiForgeryTokenSet antiForgeryTokenSet = antiForgery.GetTokens(Context, null);
        string output = antiForgeryTokenSet.CookieToken + ":" + antiForgeryTokenSet.FormToken;
        return output;
    }
}

<body>
    @GetAntiXsrfToken()
</body>

验证

var antiForgery = Context.RequestServices.GetService<AntiForgery>();
antiForgery.Validate(Context, new AntiForgeryTokenSet(formToken, cookieToken));