asp html表单没有csrf保护,CSRF在ASP.NET Core中的处理方法详解

前言

前几天，有个朋友问我关于AntiForgeryToken问题，由于对这一块的理解也并不深入，所以就去研究了一番，梳理了一下。

在梳理之前，还需要简单了解一下背景知识。

AntiForgeryToken 可以说是处理/预防CSRF的一种处理方案。

那么什么是CSRF呢？

CSRF(Cross-site request forgery)是跨站请求伪造，也被称为One Click Attack或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

简单理解的话就是：有人盗用了你的身份，并且用你的名义发送恶意请求。

最近几年，CSRF处于不温不火的地位，但是还是要对这个小心防范！

下面从使用的角度来分析一下CSRF在 ASP.NET Core中的处理，个人认为主要有下面两大块

视图层面

控制器

层面视图层面

用法

@Html.AntiForgeryToken()

在视图层面的用法相对比较简单，用的还是HtmlHelper的那一套东西。在Form表单中加上这一句就可以了。

原理浅析

当在表单中添加了上面的代码后，页面会生成一个隐藏域，隐藏域的值是一个生成的token(防伪标识)，类似下面的例子

其中的name="__RequestVerificationToken"是定义的一个const变量，value=XXXXX是根据一堆东西进行base64编码，并对base64编码后的内容进行简单处理的结果，具体的实现可以参见Base64UrlTextEncoder.cs

生成上面隐藏域的代码在AntiforgeryExtensions这个文件里面，github上的源码文件：AntiforgeryExtensions.cs

其中重点的方法如下：

public void WriteTo(TextWriter writer, HtmlEncoder encoder)

{

writer.Write("");

}

相当的清晰明了！

控制器层面

用法

[ValidateAntiForgeryToken]

[AutoValidateAntiforgeryToken]

[IgnoreAntiforgeryToken]

这三个都是可以基于类或方法的，所以我们只要在某个控制器或者是在某个Action上面加上这些Attribute就可以了。

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, AllowMultiple = false, Inherited = true)]

原理浅析

本质是Filter(过滤器)，验证上面隐藏域的value

过滤器实现：ValidateAntiforgeryTokenAuthorizationFilter和AutoValidateAntiforgeryTokenAuthorizationFilter

其中 AutoValidateAntiforgeryTokenAuthorizationFilter是继承了ValidateAntiforgeryTokenAuthorizationFilter，只重写了其中的ShouldValidate方法。

下面贴出ValidateAntiforgeryTokenAuthorizationFilter的核心方法：

public class ValidateAntiforgeryTokenAuthorizationFilter : IAsyncAuthorizationFilter, IAntiforgeryPolicy

{

public async Task OnAuthorizationAsync(AuthorizationFilterContext