ASP.NET MVC HTML.AntiForgeryToken(),包含来自一个页面的多个AJAX请求
在ASP.NET MVC中，HTML.AntiForgeryToken()是一个用于防止跨站请求伪造（CSRF）攻击的功能。CSRF攻击是指攻击者通过诱导用户点击链接或提交表单等方式，在用户不知情的情况下执行恶意操作，如修改密码、删除数据等。
HTML.AntiForgeryToken()通过在页面上生成一个不可预测的随机字符串，称为“令牌”，并将其添加到表单提交请求中。服务器端会验证请求中的令牌是否与生成的令牌匹配，如果匹配，则允许请求通过；否则，请求将被拒绝。
这个令牌是由一个专门的AntiForgeryTokenHandler类生成的，这个类会在请求到达Controller之前，将令牌添加到HttpContext.Request.Form中。
在ASP.NET MVC中使用HTML.AntiForgeryToken()可以有效地保护网站免受CSRF攻击，从而提高网站的安全性。
相关·内容
我遵循本文来实现自定义错误页和错误记录。伐木效果很好。但是，当出现异常时，自定义错误页不显示ajax请求，它适用于正常的http完整请求。，工作，正常url请求 {
protected override void OnException
浏览 3提问于2011-10-24得票数 2
回答已采纳
我正在创建一个页面，它可以在不刷新页面的情况下发布多个AJAX表单。
我想使用CSRF来保护表单免受ASP.NET攻击。我认为页面上的每个表单都可以共享相同的令牌，但它是否允许使用相同令牌的多个请求？
浏览 3提问于2011-03-08得票数 7
回答已采纳
我们有一个ASP.NET MVC应用程序。使用@Html.AntiForgeryToken和ValidateAntiForgeryToken属性保护所有POST请求(表单提交)不受CSRF的影响。控制器上的操作方法之一是一个GET，它向用户返回一个报告(一个pdf文件，包含来自数据库的数据)。GetReport() // get data from db
return GetR
浏览 5提问于2016-02-18得票数 13
回答已采纳
我有ASP.NET MVC 5应用程序，使用.Net 4.5.1。应用程序有几个将数据发布到服务器的jQuery ajax方法。为了防止跨站点请求伪造(XSRF)，我在_layout.cshtml中添加了以下内容以及javascript，它在HttpHeader中发送带有所有ajax帖子的令牌。我有另一个使用ASP.NET Core开发的应用程序，我在那里也有相同的功能(除了头名是RequestVe
浏览 2提问于2017-02-23得票数 0
我想关闭通过AJAX发布原始JSON的CSRF漏洞。我熟悉MVC使用ValidateAntiForgeryTokenAttribute和@Html.AntiForgeryToken()自动预防CSRF的机制；然而，如果我理解正确的话，这种机制要求POST在ASP.Net MVC中是否有一个内置的机制，可以拒绝Content-Type为application/json的POST请求的CSRF？如果不是，我是否坚持将防伪放入JSON对象本身？您能推荐一种技术来保护
浏览 2提问于2011-09-01得票数 16
回答已采纳
我在我的ASP.NET MVC (v1)页面上有许多执行破坏性操作的Ajax.ActionLink，这是“合法的”，因为在这种情况下，我将HttpMethod设置为DELETE，所以它不是破坏性的GET我的问题是，如何减轻对此操作的XSRF攻击，使其他站点不能手工创建相同的Ajax DELETE请求来从另一个站点删除用户数据。此ActionLink确实出现在包含<%= Html.AntiForgeryToken() %>的表单中，但由于Ac
浏览 0提问于2010-01-02得票数 1
有没有办法在ASP.NET MVC2中访问Page.Header.Controls？我想创建一个助手，可以管理脚本。
浏览 0提问于2010-09-02得票数 0
1回答
本质上：
在设计restful风格的Web应用程序时，在选择ASP、MVC或web API时，应该考虑哪些标准和/或指导？
浏览 0提问于2013-05-13得票数 8
回答已采纳
3回答
我是一个角初学者，目前正在通过一些角度教程工作。我有几年前的ASP.NET MVC经验。
创建一个为单个页面服务的简单ASP.NET核心应用程序。该页面将是一个单页的角度应用程序，它将处理自己的路由等，显示各种不同的视图，并可能使用通过A
浏览 2提问于2018-04-08得票数 0
2回答
当我阅读ASP.NET MVC实现的反伪造系统生成一个可以在同一会话中重用的令牌时，我的问题是，为什么每次在我的应用程序中生成一个新表单时，这个令牌就会改变呢？
浏览 6提问于2013-09-03得票数 2
回答已采纳
1回答
我正在开发一个ASP.NET MVC应用程序，并计划保护每个非GET请求(POST、PUT、DELETE等)。用AntiForegeryToken。我实现了一个对经典AntiForgery验证的扩展，该验证基于在头中发送的__RequestVerificationToken。这是因为我的大部分调用都是异步的($.ajax())，这样更容易发送隐藏字段值。把一个@Html.AntiForgeryToken()放在_Layout.cshtml (所有页<e
浏览 2提问于2016-11-15得票数 3
我正在开发一个MVC应用程序，它有一个基本的ajax表单来提交数据。表单之后，有一个部分视图，其中包含另一个ajax表单，用于将数据提交到下拉框，允许用户在不离开页面的情况下更新其内容。创建{
浏览 1提问于2018-06-01得票数 0
我找不到一个经过社区审查的实现，它实现了关于如何组合安全令牌或在网页中安全地交付它的替代解决方案(如下所示)。我也不会声称自己是一个足够的专家来推动我自己的实现。例如，根据上面的Haacked，如果我获得了一些敏感数据，下面的代码就容易受到攻击：
$.getJSON('[url]', { [parameters] }, function(json) {它可能是MVC3 3的AntiForgeryToken，或者它的变体()。此令牌将被设置为上面选择的任何URL格式的内联值。对于Goog
浏览 7提问于2011-02-06得票数 24
回答已采纳
3回答
从我的研究来看，防止这种情况的正确方法是在每个返回表单的GET请求中设置一个NONCE，然后在POST请求上检查这个NONCE。然而，有些人仍然可以写一个脚本，把我的表单和现在一起得到，然后再把它和现在一起贴回去。
由于这是一个广为人知的漏洞，难道浏览器不应该通过不允许跨域ajax调用来解决这个问题吗？如果没有，ASP.NET MVC 4是否已经有了一个内置的机制来防范这种情况？
浏览 3提问于2013-12-05得票数 0
回答已采纳
我继承了一个完全使用Ajax构建的站点，所以我使用以下代码来检测页面加载： var _gaq=[["_setAccount","UA-#######(g,s)}(document,"script"));
_gaq.push(['_trackPageview', '/#pagename']);
除了这是一个超过30页的大网站，我
浏览 0提问于2012-07-21得票数 0
我正在处理这个ASP.NET MVC问题，即在AJAX中使用ValidateAntiForgeryToken会破坏AJAX调用()。唯一的解决方案(如该主题所述)需要jQuery。我如何用jQuery的.post方法来实现下面的等价性呢？@Ajax.ActionLink("Perform HTTPPost", "PostTest", new AjaxOptions{ HttpMethod="POST"})&#x
浏览 10提问于2011-10-26得票数 1
有没有可能在mvc MVC控制器上以编程方式从一个传统的asp.net窗体页面调用一个动作，而这个页面不是由MVC处理的，而是运行在同一个web应用程序中？我们有一个混合的asp.net web应用程序:用于页面呈现的webforms和用于ajax调用的MVC.但我们希望通过代码(而不是web请求)在服务器上呈现一些来自web表单页面的M
浏览 1提问于2010-09-15得票数 4
4回答
我已经经历了一段使用JQuery的asp.net和ajax请求的地狱时间。我不明白为什么下面的方法不起作用。我是不是遗漏了什么？它似乎会触发请求ok (没有错误)，但它永远不会进入方法内部。// asp.net webforms (NOT MVC){
[WebMethodstring test = "testing
浏览 0提问于2011-03-25得票数 1
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
