对于同一请求中的某些调用，CSRF 验证失败

Question

登录页面后，应用程序多次调用以显示报告。间歇性地，一些调用失败并出现 500 错误，并显示基本消息“未提供所需的防伪令牌或无效”。

这并不总是发生。有时。整个请求成功，报告没有问题。其他时候，我会看到这个防伪错误。

我们在同一个请求中有相同的 __RequestVerificationToken 失败和正常调用。会话 ID 也是一样的。知道为什么会出现这个问题吗？

请求成功：

请求失败：

Answer 1

问题

CSRF 令牌被重用于身份验证后的请求 CSRF 令牌仅对初始会话有效。一旦发生身份验证，就会创建一个新会话，因此需要一个新的 CSRF 令牌。

TL;DR

您看到 invalid token 错误，因为您使用的令牌来自用户登录之前的会话

解决方案

验证用户身份后刷新 CSRF 令牌。

参考文献

认证后刷新 CSRF 令牌：https://docs.microsoft.com/en-us/aspnet/core/security/anti-request-forgery?view=aspnetcore-3.1#refresh-tokens-after-authentication