MVC ValidateAntiForgeryToken 多标签问题

Question

我们收到“所需的防伪令牌未提供或无效”。错误，经过进一步调查，我设法以最简单的形式重现了问题 - 我要么做错了，要么这是防伪令牌系统的限制。

无论哪种方式，我都会很感激一些建议！

空的 MVC 2 项目： 一个视图页面，一个控制器

查看：

<%--Sign in form:--%>
<% using(Html.BeginForm("SignIn", "Home", FormMethod.Post)) {%>
    <%= Html.AntiForgeryToken()%>
    <input type="submit" value="Sign in" />
<%}%>

控制器：

public ActionResult Index()
{
    ViewData["status"] = "Index";
    return View();
}

[ValidateAntiForgeryToken]
public ActionResult SignIn()
{
    ViewData["status"] = "Signed In!";
    FormsAuthentication.SetAuthCookie("username", false);
    return View("Index");
}

[编辑：简化代码示例]

要重新创建异常，请打开两个未登录的选项卡 - 在第一个选项卡上登录，然后在第二个选项卡上登录。

当我猜测正确的行为是重定向到登录页面（共享原始登录选项卡的会话/身份验证）时，第二个选项卡将始终引发防伪异常

任何建议将不胜感激！

干杯， 戴夫

Answer 1

您可以使用相同的盐：

<% using(Html.BeginForm("SignIn", "Home", FormMethod.Post)) {%>
    <%= Html.AntiForgeryToken("123")%>
    <input type="submit" value="Sign in" />
<%}%>

<% using(Html.BeginForm("Protected", "Home", FormMethod.Post)) {%>
    <%= Html.AntiForgeryToken("456")%>
    <input type="submit" value="Do secret stuff" />
<%}%>

在你的控制器中：

[ValidateAntiForgeryToken(Salt = "123")]
public ActionResult SignIn()
{
    ViewData["status"] = "Signed In!";
    FormsAuthentication.SetAuthCookie("username", false);
    return View("Index");
}

[Authorize]
[ValidateAntiForgeryToken(Salt = "456")]
public ActionResult Protected()
{
    ViewData["status"] = "Authed";
    return View("Index");
}

对另一个令牌执行相同的操作，但请确保选择不同的盐。

Answer 2

查看 MVC 2 源代码，如果您已登录，则 AntiForgeryToken 隐藏字段似乎包含序列化的 User.Identity.Name。在ValidateAntiForgeryTokenAttribute 的第 69 行中，似乎随后会使用当前用户检查您的令牌.Identity.Name。

    string currentUsername = AntiForgeryData.GetUsername(filterContext.HttpContext.User);
    if (!String.Equals(formToken.Username, currentUsername, StringComparison.OrdinalIgnoreCase)) {
        // error: form token is not valid for this user
        // (don't care about cookie token)
        throw CreateValidationException();
    }

因为您现在在其他选项卡中登录，所以上面的代码使不包含 User.Identity.Name 的现有令牌无效。

可以通过在该检查周围添加!string.IsNullOrEmpty(formToken.Username) 来解决此问题，但我不知道这是否会引发安全问题，而且这意味着需要自定义 MVC 2 构建。

Answer 3

这个问题的真正答案就是你不应该在登录表单上使用防伪令牌！

在登录表单上“伪造”为用户是没有意义的 - 他们没有登录！