剑轩

.NET CORE防止CSRF跨站请求伪造

电脑版发表于:2020/12/15 17:09


可以加特性ValidateAntiForgeryToken实现,还可以配合一个ActionName
比如微软.NET CORE官方的一个案例中

[HttpGet, ActionName("Delete")]
[ValidateAntiForgeryToken]
public async Task<IActionResult> DeleteConfirmed(int id)
{
    var student = await _context.Students.FindAsync(id);
    _context.Students.Remove(student);
    await _context.SaveChangesAsync();
    return RedirectToAction(nameof(Index));
}

使用到了它们,你直接访问是访问不到的,直接给你一个404

就是让你强制走正常的流程,必须要是点击确实删除按钮发起的请求才能被正确的响应,或者其他方式发起的请求一律不接受,直接返回404。
对于删除这类操作,可以用一下,不然你得多添加很多验证,要验证删除方法的正确性,验证参数的正确性等等。也是相当于多一层保护,还有对于转账等等业务这块也要特别小心。

它的原理是配合token来实现的,比如访问/Student/Delete的时候生成一个token在前台的隐藏域中,然后当你访问/Student/DeleteConfirmed的时候验证你的token是否有效,就可以知道你的请求是正常流程走的,还是其他途径来的,当然我们可能还会需要配合其他一些辅助手段来完善验证

关于TNBLOG
TNBLOG,技术分享
ICP备案 :渝ICP备18016597号-1
App store Android
精彩评论
{{item.replyName}}
{{item.content}}
{{item.time}}
{{subpj.replyName}}
@{{subpj.beReplyName}}{{subpj.content}}
{{subpj.time}}
猜你喜欢