说一说MVC的CSRF(三)

用途：防止CSRF（跨网站请求伪造）。

用法：在View->Form表单中:<%:Html.AntiForgeryToken()%>

在Controller->Action动作上：[ValidateAntiForgeryToken]

原理：

1、<%:Html.AntiForgeryToken()%>这个方法会生成一个隐藏域：<input name="__RequestVerificationToken" type="hidden" value="7FTM...sdLr1" />并且会将一个以"__RequestVerificationToken“为KEY的COOKIE给控制层。

2、[ValidateAntiForgeryToken]，根据传过来的令牌进行对比，如果相同，则允许访问，如果不同则拒绝访问。

关键：ValidateAntiForgeryToken只针对POST请求。

换句话说，[ValidateAntiForgeryToken]必须和[HttpPost]同时加在一个ACTION上才可以正常使用。

这其中的原理我也没想明白，等下次好好把MVC的源代码看看。

不过我这么说是有根据的，我写了一些案例做了测试。

案例：

1、在一个ACTION的GET和POST方式分别加了[ValidateAntiForgeryToken]特性

Action:

2、用一个测试页面以POST方式去请求ACTION，结果是成功的。并且，隐藏域的值和COOKIE都是可以拿到的。

测试Post的页面：

3、用一个测试页面以GET方式去请求ACTION，报错。

测试Get的页面：

推荐使用方式：

1、Post-Only:大概思想是，拒绝所有的GET，只允许自己的POST。（安全，但不灵活）

2、GET只做显示，对所有的GET开放；POST做修改，对外界关闭，对自己开放。（灵活，但不够安全)

国外有个人说，其实这个过滤器本身就不安全，他如是说，所有的REQUEST都是可以伪造的。

转载于:https://www.cnblogs.com/ZaraNet/p/9541237.html

说一说MVC的CSRF(三)相关推荐

ASP.NET MVC 控制器激活(三)
ASP.NET MVC 控制器激活(三) 前言在上个篇幅中说到从控制器工厂的GetControllerInstance()方法来执行控制器的注入,本篇要讲是在GetControllerInstanc ...
Spring MVC防御CSRF、XSS和SQL注入攻击
本文说一下SpringMVC如何防御CSRF(Cross-site request forgery跨站请求伪造)和XSS(Cross site script跨站脚本攻击). 说说CSRF 对CSRF来 ...
ASP.NET MVC 防止 CSRF 的方法
MVC中的Html.AntiForgeryToken()是用来防止跨站请求伪造(CSRF:Cross-site request forgery)攻击的一个措施,它跟XSS(XSS又叫CSS:Cross ...
从零开始学习 ASP.NET MVC 1.0 (三) Controller/Action 深入解析与应用实例【转】
一.摘要一个Url请求经过了Routing处理后会调用Controller的Action方法. 中间的过程是怎样的? Action方法中返回ActionResult对象后,如何到达View的? 本文 ...
MVC防止CSRF攻击
可能我们大多数人做web的时候不会太注意这个问题,但是这是一个很重要的一个点.我们写代码写业务的时候也应该从各方面多思考. 首先就是先简单介绍下什么是CSRF CSRF 全程是 Cross-site ...
JSP开发--MVC模式（三）
MVC(Model-View-Controller)模式,即模型-视图-控制器模式 MVC1和MVC2模式 JSP+JavaBean+Servlet实现MVC 一:MVC(Model-View-Con ...
Spring MVC 实战：三种方式获取登录用户信息
前言 Web 项目中,维持用户登录状态的常用方式有三种,分别是 Cookie.Session.Token,不管哪种方案,都需要获取到用户信息供业务层使用. 由于获取用户信息与具体业务无关,因此在普通的 ...
Spring MVC配置文件的三个常用配置详解
2019独角兽企业重金招聘Python工程师标准>>> Spring MVC项目中通常会有二个配置文件,sprng-servlet.xml和applicationContext.xm ...
ASP .NET Core Web MVC系列教程三：添加视图
系列文章目录:ASP .NET Core Web MVC系列教程:使用ASP .NET Core创建MVC Web应用程序上一个教程:ASP .NET Core Web MVC系列教程二:添加控制器 ...

说一说MVC的CSRF(三)

说一说MVC的CSRF(三)相关推荐

最新文章

热门文章