MVC3 AntiForgeryToken问题

Question

我正在尝试为我的MVC3应用程序实现AntiForgeryToken。 设置FormAuthentication cookie后，AntiForgeryToken出现问题。 这是一个简单的示例，它解释了我的问题。

我有以下操作方法的家庭控制器：

public class HomeController : Controller
{
    public ActionResult Logon()
    {
        return View();
    }

    [HttpPost]
    [ValidateAntiForgeryToken]
    public ActionResult Logon(string userName, string password)
    {
        FormsAuthentication.SetAuthCookie(userName, false);
        return View("About");
    }


    [HttpPost]
    [ValidateAntiForgeryToken]
    public ActionResult About(FormCollection form)
    {
        return View("PageA");
    }
 }

这是我的登录和关于视图：

Logon.cshtml：

   @using (Html.BeginForm("Logon", "Home"))
   {

    @Html.AntiForgeryToken()

    <label> UserName :</label>
    <input  name = "userName" type="text"/>
    <br />
    <label> Password :</label>
    <input name = "password" type="password"/>
    <br />
    <br />
    <input type="submit" value="LogOn" />

   }

About.cshtml

@using (Html.BeginForm("About", "Home"))
{

    @Html.AntiForgeryToken()
    <p> This is conent of page About</p>
    <input  name = "moreInfo" type="text"/>

    <input type="submit" value="SubmitAbout" />
}

我对“登录”发布方法没有问题。 它正在验证防伪令牌并呈现“关于”视图。 有趣的是，当我在“关于”视图上发帖时，出现错误“未提供必需的防伪令牌或该令牌无效”

有人可以指出我在这里做错了什么吗？

感谢您的帮助。

Answer 1

我做了一些测试，确定即使在调用FormsAuthentication.SetAuthCookie(...) ，问题仍然是httpContext.User.Identity.Name在请求期间仍为空。

因此，要解决此问题，您需要这样手动设置当前User ：

FormsAuthentication.SetAuthCookie(email, true);
this.HttpContext.User = new GenericPrincipal(new GenericIdentity(email), null);

这将设置在调用Html.AntiForgeryToken()时使用的正确User 。

请注意，对于常规的PRG模式网站，此代码不是必需的，因为重定向后，将加载正确的User 。

另外，由于您的Logon方法要求有效的用户名和密码，因此它实际上并不受CSRF攻击，因此您可能不需要在该方法上使用ValidateAntiForgeryToken 。 也许这就是为什么AntiForgeryToken依赖于用户名的原因。 CSRF攻击通常仅利用已通过身份验证的用户。

Answer 2

我似乎记得当您登录令牌后，密码和您的用户名有所不同，我相信会更改此令牌，因此不再有效。 我会仔细检查这一点，但是几乎可以肯定我过去曾经遇到过。

但是，在上面的代码中，如果使用此模式，则会遇到其他问题。 除非有异常/验证错误并且您要重新显示页面，否则发布操作通常不是要显示视图。 通常，您将重定向。 我看到有人在上面的评论中提及了这一点，他们是正确的。

这并不意味着您不应该使用这些操作，但要注意不要在登录时使用这些操作。 此先前的帖子暗示了将用户名与令牌结合使用：

对防伪令牌问题进行故障排除

public void Validate(HttpContextBase context, string salt) {
        Debug.Assert(context != null);

        string fieldName = AntiForgeryData.GetAntiForgeryTokenName(null);
        string cookieName = AntiForgeryData.GetAntiForgeryTokenName(context.Request.ApplicationPath);

        HttpCookie cookie = context.Request.Cookies[cookieName];
        if (cookie == null || String.IsNullOrEmpty(cookie.Value)) {
            // error: cookie token is missing
            throw CreateValidationException();
        }
        AntiForgeryData cookieToken = Serializer.Deserialize(cookie.Value);

        string formValue = context.Request.Form[fieldName];
        if (String.IsNullOrEmpty(formValue)) {
            // error: form token is missing
            throw CreateValidationException();
        }
        AntiForgeryData formToken = Serializer.Deserialize(formValue);

        if (!String.Equals(cookieToken.Value, formToken.Value, StringComparison.Ordinal)) {
            // error: form token does not match cookie token
            throw CreateValidationException();
        }

        string currentUsername = AntiForgeryData.GetUsername(context.User);
        if (!String.Equals(formToken.Username, currentUsername, StringComparison.OrdinalIgnoreCase)) {
            // error: form token is not valid for this user
            // (don't care about cookie token)
            throw CreateValidationException();
        }

        if (!String.Equals(salt ?? String.Empty, formToken.Salt, StringComparison.Ordinal)) {
            // error: custom validation failed
            throw CreateValidationException();
        }
    }

Answer 3

如果请求中存在具有相同名称的cookie，则AntiForgeryToken Helper不会添加任何cookie来响应。 另外，AntiForgeryToken Helper使用Principal.Identity.Name返回隐藏字段的值。

            AntiForgeryData formToken = new AntiForgeryData(cookieToken) {
               Salt = salt,
               Username = AntiForgeryData.GetUsername(httpContext.User)
            };

因此，当您的登录视图使用Html.AntiForgeryToken时，将在响应和具有相同值的隐藏字段中设置一个新cookie。 当您的“登录”视图发布带有隐藏字段的Cookie时，不会抛出任何异常，因为请求Cookie和隐藏字段的值均匹配。 但是在About（关于）视图的情况下，不会将其他cookie添加到响应中，但是由于IIdentty，将为助手返回一个新的隐藏值。 因此，当您发布关于操作时，由于Cookie和隐藏值不匹配，将引发异常。

这可能是AntiForgeryToken实施中的错误。