MVC Html.AntiForgeryToken() 防止CSRF攻击

MVC中的Html.AntiForgeryToken()是用来防止跨站请求伪造(CSRF:Cross-site request forgery)攻击的一个措施,它跟XSS(XSS又叫CSS:Cross-Site-Script),攻击不同,XSS一般是利用站内信任的用户在网站内插入恶意的脚本代码进行攻击，而CSRF则是伪造成受信任用户对网站进行攻击。

解决方法：

View视图页面用@Html.AntiForgeryToken()生成一个隐藏的窗体字段（防伪标记），在提交窗体时将验证此字段
Controller控制器用[ValidateAntiForgeryToken]该特性用于检测服务器请求是否已被篡改

 

举个简单例子，譬如整个系统的公告在网站首页显示，而这个公告是从后台提交的，我用最简单的写法：

网站后台(Home/Index页面)设置首页公告内容，提交到HomeController的Text Action

 

@using (Html.BeginForm("Text","Home",FormMethod.Post))
{
    @:网站公告:<input type="text" name="Notice" id="Notice" />
    <input type="submit" value="Submit" />
}

HomeController的Text Action

[HttpPost]
 public ActionResult Text()
 {
     ViewBag.Notice = Request.Form["Notice"].ToString();
     return View();
 }

填写完公告，提交，显示

此时提供给了跨站攻击的漏洞，CSRF一般依赖几个条件

(1)攻击者了解受害者所在的站点

 

(2)攻击者的目标站点具有持久化授权cookie或者受害者具有当前会话cookie