AntiForgeryToken 是否需要在表单标签内

Question

我看到的所有示例都将 AntiForgeryToken 放在 <form> 标签内：

@Using Html.BeginForm("DoThis", "FromHere", FormMethod.Post, New With {.id = "MyId"})
    @Html.AntiForgeryToken()
End Using

这是必需的吗？我正在使用 ajax/jQuery 调用将帖子发回服务器。我正在使用此处提供的示例 (preFilter)，以便检索 AntiForgeryToken。我只是在表单标签中没有我的 AntyForgeryToken。我只是将它放在我的根 _Layout 页面上并称之为好。为什么我需要做其他事情？我想不出为什么我必须...

Answer 1

在示例中，它们在表单标记中具有防伪功能，因此当通过提交按钮发布表单时，单击它会自动与所有其他表单变量一起发布。如果您通过 ajax 手动发布数据，您可以在任何地方生成防伪令牌，但您需要获取该值并将其与您发送到服务器的任何其他数据一起发布。

确保将防伪令牌的属性命名为与 HTML 帮助器方法的名称相同（“__RequestVerificationToken”）。