ASP.NET MVC 4 Beta 编辑器模板对 CSRF 安全吗？

Question

由 ASP.NET MVC 4 Beta 模板生成的页面对跨站点请求伪造安全吗？

具体来说，“具有读/写操作和视图的控制器，使用 EntityFramework”生成的“编辑”视图和控制器操作是否受到 CSRF 的保护？

检查编辑表单生成的 HTML 代码，我看不到隐藏字段或其他实现防伪令牌的方式。

是我遗漏了什么还是默认示例不安全？

Answer 1

您需要显式实现防伪令牌。

在视图中：

@using (Html.BeginForm(...
{
    @Html.AntiForgeryToken()
    ...
}

在控制器中

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult MyAction(MyViewModel model)
{
    ...

您始终可以创建自定义 T4 模板来为您生成此内容，但不可以，默认情况下开箱即用的模板不会执行此操作。