为什么不同浏览器选项卡中不同值的 AntiForgeryToken 都执行成功？

Question

我有一个带有防伪令牌的 MVC 5 View 表单。

我在 2 个不同的选项卡中打开了相同的 URL，并查看了页面源代码 我得到 2 个不同的 __RequestVerificationToken 表单令牌。

__RequestVerificationToken cookie 具有相同的值。

第一个浏览器标签：

<input name="__RequestVerificationToken" type="hidden" value="JK3VfUNG8MbkWHRcUUoYoYuBEqYg1VZl38rT_Oje6WRpUHIKnRgVsaXX6K_qQMm5OXiw5UDjKlSppYBeEFZbvzKHCDndo_BXcZYkcnxL9E1" />

第二个浏览器标签：

<input name="__RequestVerificationToken" type="hidden" value="TFwq8uATFit48n63lm8AkWFw2uPCaAroIFYcjznF35tEbRc1vTyJaz3QDu4E_aIM85LcttBubeRqvxy-he0SMRQsTdtJwvvwQ_Adk1yWbVA1" />

显然，防伪令牌必须与防伪 cookie 一起验证。

但即使防伪 cookie 相同，防伪令牌的形式也不同。

如何在 POST 后成功执行两个页面？这里的解密是如何工作的？

提前致谢。

Answer 1

浏览器根据站点的标识符生成令牌，cookie 包含解密的密钥。只要站点保持相同的“myapp.myserver.com”，浏览器就能够解密该值。浏览器只需成功解密并因此验证令牌。 ValidationResult = (Token + cookie = 匹配) 任何时候，都可以生成令牌，并且浏览器可以通过使用 cookie 来验证它是否属于给定站点。