ASP.NET MVC 3针对托管在一台本地服务器上的多门户应用程序的防伪保护

Question

我有2个网站，实际上它们是相同的。 其目的在于其中一个用于互联网用户，第二个用于本地用户。 现在，它们托管在我的localhost计算机上的同一IIS服务器上。 当我打开这两个网站并尝试获取标有[ValidateAntiForgeryToken]的操作结果时，我有一个问题，在我的cookie中我有我的localhost网站的cookie，并且有一个名为“ RequestVerificationToken_Lw ”的cookie，这是防伪保护键。 问题在于两个站点都使用相同的cookie来存储此密钥。 因此，如果在一个网站上做了什么，当我试图在另一个网站上做smth时，我会得到反伪造的错误。

如何更改cookie域或任何其他解析cookie的解决方案？

谢谢！

Answer 1

好吧，让我们看看ValidateAntiforgeryTokenAttribute做了什么（Reflector / ILSpy是你的朋友）：

public void OnAuthorization(AuthorizationContext filterContext)
{
    if (filterContext == null)
    {
        throw new ArgumentNullException("filterContext");
    }
    string antiForgeryTokenName = AntiForgeryData.GetAntiForgeryTokenName(null);
    string antiForgeryTokenName2 = AntiForgeryData.GetAntiForgeryTokenName(filterContext.HttpContext.Request.ApplicationPath);
    HttpCookie httpCookie = filterContext.HttpContext.Request.Cookies[antiForgeryTokenName2];
    if (httpCookie == null || string.IsNullOrEmpty(httpCookie.Value))
    {
        throw ValidateAntiForgeryTokenAttribute.CreateValidationException();
    }
    AntiForgeryData antiForgeryData = this.Serializer.Deserialize(httpCookie.Value);
    string text = filterContext.HttpContext.Request.Form[antiForgeryTokenName];
    if (string.IsNullOrEmpty(text))
    {
        throw ValidateAntiForgeryTokenAttribute.CreateValidationException();
    }
    AntiForgeryData antiForgeryData2 = this.Serializer.Deserialize(text);
    if (!string.Equals(antiForgeryData.Value, antiForgeryData2.Value, StringComparison.Ordinal))
    {
        throw ValidateAntiForgeryTokenAttribute.CreateValidationException();
    }
    string username = AntiForgeryData.GetUsername(filterContext.HttpContext.User);
    if (!string.Equals(antiForgeryData2.Username, username, StringComparison.OrdinalIgnoreCase))
    {
        throw ValidateAntiForgeryTokenAttribute.CreateValidationException();
    }
    if (!this.ValidateFormToken(antiForgeryData2))
    {
        throw ValidateAntiForgeryTokenAttribute.CreateValidationException();
    }
}

好的，很明显，令牌的cookie名称来自应用程序路径：

string antiForgeryTokenName2 = AntiForgeryData.GetAntiForgeryTokenName(filterContext.HttpContext.Request.ApplicationPath);
    HttpCookie httpCookie = filterContext.HttpContext.Request.Cookies[antiForgeryTokenName2];

因此，您可以创建自己的过滤器，只需复制粘贴此代码，并将其更改为尊重端口（或者您区分应用程序的任何内容）：

string antiForgeryTokenName2 = AntiForgeryData.GetAntiForgeryTokenName(filterContext.HttpContext.Request.ApplicationPath  + filterContext.HttpContext.Request.Url.Port);
    HttpCookie httpCookie = filterContext.HttpContext.Request.Cookies[antiForgeryTokenName2];

这样，cookie名称（“RequestVerificationToken_Lw”）也会因端口而异。

当然，我们也无法在创建令牌时忘记更改此cookie名称。 不幸的是，你需要在这里复制粘贴“重新实现”2件事 - 首先是AntiForgeryToken扩展方法来调用你自己的AntiForgeryWorker，然后是AntiForgeryWorker本身 - 只需覆盖方法GetAntiForgeryTokenAndSetCookie，它与以前一样：

string antiForgeryTokenName = AntiForgeryData.GetAntiForgeryTokenName(httpContext.Request.ApplicationPath);

好吧，它似乎一团糟，它绝对不是一个干燥的解决方案，但如果你真的想要这个，你可以在几分钟内完成它。 只需使用反射器和复制粘贴:)