MVC 防伪令牌

Question

我有一个使用防伪令牌的公共 MVC 5 网站。每天都有大量错误以“The anti-forgery cookie token and form field token do not match.”的形式记录，而较少数量的错误以“The required anti-forgery cookie "__RequestVerificationToken"的形式记录现在。”。

这个问题是不可重现的，不同的人在不同的时间出现在不同的页面上。关闭浏览器即可解决问题 - 有时只需使用“后退”按钮并重试即可解决问题。

• 由于该网站适用于绝大多数用户，我可以排除控制器中缺少 ValidateAntiForgeryToken 属性，同样，我可以排除视图中缺少或重复的 @Html.AntiForgeryToken() 代码。

• 网站在单台服务器上运行，因此我可以在 web.config 中排除不同的机器密钥（无论如何，我都尝试过使用和不使用此设置来运行网站）。

• 应用程序池设置为每晚重启，并且有大量空闲资源 服务器，所以我可以排除应用程序池重新启动和使会话无效（特别是因为这没有记录在事件日志或其他任何地方）。

• 我很少遇到这个问题 - 我肯定启用了 cookie，所以我可以排除 cookie 被禁用的可能性。我还可以排除 javascript 被禁用的可能性，因为用户只能在没有 JS 的情况下进入该站点 - 并且在此之后的页面上会出现错误。

• 我已禁用所有缓存，设置 nocache、nostore 等。这似乎减少了问题的发生，但它仍然存在（由于各种其他原因，我不得不重新启用缓存）。

还有哪些其他选择需要考虑？

对此我感到非常沮丧，我正在考虑关闭防伪保护并助长全球安全性的削弱。

Answer 1

确保您在控制器和表单中都有 AntiForgery 属性。

如果您正在做 ajax 发布，也许您可​​以发送 RequestValidationToken 作为参数。

$('input[name=__RequestVerificationToken]').val()

也可能有人攻击您的网站或使用一些机器人来获取内容或发布表单。