我已经在我的应用程序中实现了对CSRF攻击的缓解，这是我在互联网上的一些博客文章上读到的信息。特别是这些帖子一直是我实现的驱动力
ASP的最佳实践。NET MVC从ASP。NET和Web工具开发人员内容团队
跨站点请求伪造攻击的剖析，来自Phil Haack的博客
ASP中的AntiForgeryToken。NET MVC框架- Html。来自David Hayden博客的AntiForgeryToken和ValidateAntiForgeryToken属性
基本上，这些文章和建议说，为了防止CSRF攻击，任何人都应该实现以下代码:
在接受POST Http谓词的每个操作上添加[ValidateAntiForgeryToken]
(HttpPost)
(ValidateAntiForgeryToken)
SomeAction(SomeModel模型){
｝
在向服务器提交数据的表单中添加<%= Html.AntiForgeryToken() %> helper
无论如何，在我的应用程序的某些部分，我做Ajax post与jQuery到服务器没有任何形式。例如，当我让用户点击图像来执行特定操作时就会发生这种情况。
假设我有一个包含活动列表的表。我在表的一列上有一个图像，说“标记活动已完成”，当用户单击该活动时，我正在做Ajax POST如下示例:
$("a.markAsDone").click(function (event) {
event.preventDefault();
$.ajax({
type: "post",
dataType: "html",
url: $(this).attr("rel"),
data: {},
success: function (response) {
// ....
}
});
});
在这些情况下，我如何使用<%= Html.AntiForgeryToken() %> ?我是否应该在Ajax调用的数据参数中包含helper调用?
很抱歉写了这么长时间，非常感谢你的帮助
编辑:
根据jayrdub的回答，我用下面的方式
$("a.markAsDone").click(function (event) {
event.preventDefault();
$.ajax({
type: "post",
dataType: "html",
url: $(this).attr("rel"),
data: {
AddAntiForgeryToken({}),
id: parseInt($(this).attr("title"))
},
success: function (response) {
// ....
}
});
});
除了我对@JBall的回答的评论之外，这是对我有用的最终答案。我正在使用MVC和Razor，我正在使用jQuery AJAX提交一个表单，所以我可以更新一些新的结果的部分视图，我不想做一个完整的回发(和页面闪烁)。
像往常一样在表单中添加@Html.AntiForgeryToken()。
我的AJAX提交按钮代码(即一个onclick事件)是:
//User clicks the SUBMIT button
$("#btnSubmit").click(function (event) {
//prevent this button submitting the form as we will do that via AJAX
event.preventDefault();
//Validate the form first
if (!$('#searchForm').validate().form()) {
alert("Please correct the errors");
return false;
}
//Get the entire form's data - including the antiforgerytoken
var allFormData = $("#searchForm").serialize();
// The actual POST can now take place with a validated form
$.ajax({
type: "POST",
async: false,
url: "/Home/SearchAjax",
data: allFormData,
dataType: "html",
success: function (data) {
$('#gridView').html(data);
$('#TestGrid').jqGrid('setGridParam', { url: '@Url.Action("GetDetails", "Home", Model)', datatype: "json", page: 1 }).trigger('reloadGrid');
}
});
我保留了“success”动作，因为它显示了包含MvcJqGrid的部分视图是如何被更新的，以及它是如何被刷新的(非常强大的jqGrid网格，这是一个出色的MVC包装器)。
我的控制器方法是这样的:
//Ajax SUBMIT method
[ValidateAntiForgeryToken]
public ActionResult SearchAjax(EstateOutlet_D model)
{
return View("_Grid", model);
}
我必须承认，我不喜欢将整个表单的数据作为模型发布，但如果您需要这样做，那么这是一种可行的方法。MVC只是让数据绑定太容易，而不是提交16个单独的值(或一个弱类型的FormCollection)，这是可以的，我猜。如果你知道更好，请告诉我，因为我想产生健壮的MVC c#代码。
我只是在我当前的项目中实现了这个实际问题。我做的所有ajax- post，需要一个认证用户。
首先，我决定钩我的jquery ajax调用，所以我不重复自己太频繁。这个javascript代码片段确保所有ajax (post)调用都会将我的请求验证令牌添加到请求中。注意:名字__RequestVerificationToken是由. net框架使用的，所以我可以利用标准的Anti-CSRF特性，如下所示。
$(document).ready(function () {
var securityToken = $('[name=__RequestVerificationToken]').val();
$('body').bind('ajaxSend', function (elm, xhr, s) {
if (s.type == 'POST' && typeof securityToken != 'undefined') {
if (s.data.length > 0) {
s.data += "&__RequestVerificationToken=" + encodeURIComponent(securityToken);
}
else {
s.data = "__RequestVerificationToken=" + encodeURIComponent(securityToken);
}
}
});
});
在你的视图中，你需要令牌对上面的javascript可用，只需使用通用的HTML-Helper。基本上，您可以在任何需要的地方添加此代码。我把它放在if(Request.IsAuthenticated)语句中:
@Html.AntiForgeryToken() // you can provide a string as salt when needed which needs to match the one on the controller
在你的控制器中简单地使用标准的ASP。Net MVC Anti-CSRF机制。我是这样做的(尽管我实际上使用了Salt)。
[HttpPost]
[Authorize]
[ValidateAntiForgeryToken]
public JsonResult SomeMethod(string param)
{
// do something
return Json(true);
}
使用Firebug或类似的工具，你可以很容易地看到你的POST请求现在有一个__RequestVerificationToken参数附加。
