ASP.NET MVC 防伪令牌 (CSRF) 不起作用

Question

我正在尝试将 CSRF 令牌实施到我的代码中，但到目前为止没有运气。我想有三个步骤：

我要发送表单的代码：

@using (Html.BeginForm("Manage", "Account"))
{
    @Html.AntiForgeryToken()
}

在我的控制器视图中我写了：

public class HomeController : Controller
    {
    [HttpPost]
    [ValidateAntiForgeryToken] 

public ActionResult Index()
    {

        return View("Table");
    } 
    etc...
    }

还有我的 ajax 调用：

$.ajax({
            type: "POST",
            url: "../Home/" + sFunction,
            contentType: "application/json; charset=utf-8",
            processData: false,
            dataType: "json",
            headers: { "__RequestVerificationToken": 
            $('input[name=__RequestVerificationToken]').val() },
            data: data === null ? null : JSON.stringify(data),

等等

我错过了什么？为什么它不工作？ 谢谢

Answer 1

[ValidateAntiForgeryToken] 需要修饰你的表单发布方法。不是您的索引 GET 方法。这种情况下……

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult Manage(YourViewModel model)
{
    //do your logic

    return View(//whatever route & model)
}

然后在你的 js 中将它添加到你的数据对象中。

let form = //get your form control here
let data = $(form).serialize();//form is your form control
data.__RequestVerificationToken = $('input[name=__RequestVerificationToken]').val();

$.ajax({
        type: "POST",
        url: //controller/action,
        contentType: "application/x-www-form-urlencoded",
        processData: false,
        dataType: "json",
        data: JSON.stringify(data),
        //etc....
});