ASP.NET 的机器密钥验证密钥的用途是什么

【问题标题】：What is the purpose of ASP.NET's machine key validation keyASP.NET 的机器密钥验证密钥的用途是什么
【发布时间】：2015-05-11 00:08:25
【问题描述】：

在 ASP.NET 4 中，default hashing algorithm was changed to HMACSHA256。我知道解密密钥用于表单身份验证和新的 ASP.NET Identity cookie 身份验证。验证密钥是否用于 Web 窗体中的 Viewstate 验证以外的任何内容？

我问的原因是我们在许多应用程序中使用静态机器密钥，并且它们仍在使用 SHA1 进行验证。

【问题讨论】：

标签： asp.net security asp.net-identity

【解决方案1】：

验证密钥是否用于 Web 窗体中的 Viewstate 验证以外的任何内容？

除此之外，我相信它还会影响MachineKey.Protect 函数和相应的Unprotect 函数的行为。此 API 允许开发人员保护任意值。 MVC Framework makes use of this 用于 Anti-Forgery 令牌，因此更改验证密钥将影响 CSRF 令牌生成和验证。

【讨论】：

不管怎样，因为 CSRF 和 ViewState 值是短暂的，这些都不应该阻止您更改为 HMACSHA256。