ASP.NET Core WebAPI 安全注意事项

Question

我的 WebAPI 就是供我的 UI 使用的 API 后端。事实上，我的 UI 可能会使用 10 种 WebAPI 服务。

我很难理解在安全方面我需要考虑什么。

我的 API 使用 Bearer 令牌进行保护，并且仅允许 https。我设置了 CORS，他们只允许来源 https://my-front.end 这一切都很好。

但是.. 如何防止 C/XSRF 和对 WebAPI 的重放攻击？我还需要吗？

使用 ASP.NET MVC 项目设置 anti-CSRF 相当轻松，但是如何在 WebAPI 上做到这一点，据我了解，它依赖于发送信息，在服务器上生成，然后发送到客户端在请求的正文中并通过另一个渠道（例如 cookie 或标头）。我读到您可以通过使用随机数（例如时间戳和随机数）来防止重放攻击——以某种方式——但找不到任何实现示例。

还有什么我需要考虑的吗？

---

编辑：前端使用 vue.js，但我们有一个非常称职的 JS 程序员，所以任何前端实现都不会成为问题。这只是找出什么需要做的事情！

还值得注意的是，为了一目了然，WebAPI 和 FrontEnd 在不同的服务器上运行，所以这些实际上都是跨源调用。

Answer 1

好吧。首先，您需要在标头中发送 XSRF 令牌。为此，您需要转到您的 ConfigureServices 方法并设置 AntiForgery 服务以接收此标头。

public void ConfigureServices(IServiceCollection services)
{
    services.AddAntiforgery(x => x.HeaderName = "X-XSRF-TOKEN");
    services.AddMvc();
}

接下来您需要生成令牌。由于前端和 API 是不同的服务，因此您需要在执行此操作时进行调整。例如，您可以在登录时执行此操作，或者您可以有一个专用端点执行此操作，但最终结果是相同的。

您可以在标头或 cookie 中返回令牌值，这取决于您。在我的示例中，我使用了 Cookie，稍后我将对其进行解释，但如果您愿意，也可以使用标题。

public class HomeController : Controller
{
    private readonly IAntiforgery _antiForgeryService;

    public HomeController(IAntiforgery antiForgeryService)
    {
        _antiForgeryService = antiForgeryService;
    }

    public IActionResult GetToken()
    {
        var token = _antiForgeryService.GetTokens(HttpContext).RequestToken;
        HttpContext.Response.Cookies.Append("XSRF-TOKEN", token, new CookieOptions { HttpOnly = false });
        return new StatusCodeResult(StatusCodes.Status200OK);
    }
}

IAntiforgery 服务应该已经可以使用（它是您将在 .net 核心服务中使用的“AddMVC”调用的一部分）。

好的，现在我们返回了一个带有令牌值的 cookie。现在我们只需要能够将其发送回去。

这是一些 jQuery 做的工作

<script type="text/javascript" src="https://cdnjs.cloudflare.com/ajax/libs/js-cookie/2.1.4/js.cookie.min.js"></script>
<script type="text/javascript">
    var token = Cookies.get("XSRF-TOKEN");

    $.ajax({
        url: "/",
        contentType: "application/json",
        type: "POST",
        headers: {
            "X-XSRF-TOKEN": token
        }
    });
</script>

现在需要注意的是 AngularJS 会自动执行此操作。使用 $http 时，它会查找名为“XSRF-TOKEN”的 cookie，然后自动将其作为标头发送。因为您使用的是 Vue，所以无论如何您基本上都会这样做，但更多的是手动过程。

同样重要的是要注意，不要将其设置为期望 cookie 作为 CSRF 令牌返回。否则无论如何，你已经打败了 CSRF 的全部目的。

然后您可以继续使用 AntiForgery 属性装饰您的操作/控制器。

[AutoValidateAntiforgeryToken]
public class HomeController : Controller
{

总之，它基本上归结为：

• 设置 .net Core AntiForgery 以期望用于 CSRF 令牌的标头值
• 有一个端点，它将手动生成一个令牌供您使用并将其作为 cookie/header 返回
• 让您的前端读取此值并将其存储以供后续请求使用
• 在后续请求中，将令牌值作为标头发送（不是 cookie）

大部分取自这里：http://dotnetcoretutorials.com/2017/05/18/csrf-tokens-angularjsjquery-asp-net-core/