代码之家 › 专栏 › 技术社区 › mnemosyn

使用MVC2的AJAX请求中的CSRF保护

csrf asp.net-mvc-2 security ajax asp.net

mnemosyn · 技术社区 · 16 年前

现在,我想防止该页面对抗CSRF。提交表格时,使用 Html.AntiForgeryToken()

我目前的尝试是这样的 :

我想重新利用现有的魔法。然而, HtmlHelper.GetAntiForgeryTokenAndSetCookie 是私密的,我不想在MVC里闲逛。另一个选项是编写一个扩展,如

public static string PlainAntiForgeryToken(this HtmlHelper helper)
{
    // extract the actual field value from the hidden input
    return helper.AntiForgeryToken().DoSomeHackyStringActions();
}

ValidateAntiForgeryTokenAttribute ,但它使用 AntiForgeryDataSerializer 这是私人的,我真的不想复制它。

有什么建议如何以明智的方式做到这一点?我是不是遗漏了一些显而易见的东西?

1 回复 | 直到 16 年前

Darin Dimitrov 16 年前

你可以用传统的 Html.AntiForgeryToken() 帮助程序在页面上的某个位置(不一定在表单中)生成一个隐藏字段,并将其包含在ajax请求中:

var token = $('input[name=__RequestVerificationToken]').val();
$.post(
    '/SomeAction', { '__RequestVerificationToken': token }, 
    function() {
        alert('Account Deleted.');
    }
);

[AcceptVerbs(HttpVerbs.Post)]
[ValidateAntiForgeryToken]
public ActionResult SomeAction() 
{
    return View();
}

如果页面上有多个令牌,则可能需要指定要包含的令牌。由于现有辅助对象生成具有相同名称的隐藏字段,因此很难创建一个好的选择器,以便将它们放置在范围内:

<span id="t1"><%= Html.AntiForgeryToken() %></span>
<span id="t2"><%= Html.AntiForgeryToken() %></span>

然后选择相应的令牌:

var token = $('#t1 input[name=__RequestVerificationToken]').val();

推荐文章

MaSc. H. · 大小与阵列大小

1 年前

David 54321 · 我的密码在pyinstaller.exe中安全吗?

2 年前

Duong Duc Nguyen · 如何检测Windows应用程序(.exe)是否正在向外部发送数据?

2 年前

Michael · 某些Windows客户端上的命名管道安全问题

2 年前

al ice · 具有颤振的鲁棒认证

2 年前

adamency · 是否可以从Go二进制文件的源代码中检索字符串?

2 年前

Tricotou · $.get(code_url)执行返回的代码,不使用eval(),也不将其附加到DOM。jQuery安全性失败?

2 年前

AlboSimo · PayPal Api密钥安全

2 年前

Jordan Regan · 仅在响应中保护HTTP cookie,但不保护请求

2 年前

kellerkindt · 不带查询字符串的Apache2 ProxyPass

2 年前