mvc ajax с AntiForgeryToken за предотвратяване на CSRF атаки

Малък боклук · Публикувано в 2.11.2017 г. 10:06:29 ч.

Често се наблюдава, че данните от ajax post към сървъра в проекта не са маркирани с тагове за борба с фалшифициране, което причинява CSRF атаки, и е много лесно да се добавят антифалшиви марки към MVC Asp.net чрез добавяне на Html.AntiForgeryToken() към формата.
Html.AntiForgeryToken() генерира чифт криптирани низове, които се съхраняват в бисквитки и вход. Също така добавяме AntiForgeryToken в ajax публикацията

Html.AntiForgeryToken() в MVC е мярка за предотвратяване на атаки за фалшифициране на крос-сайт заявки (CSRF: Cross-site request forgery), което се различава от XSS (XSS е известен още като CSS: Cross-Site-Script). XSS обикновено използва доверени потребители в сайта, за да вмъкнат злонамерен скриптов код в мрежата с цел атака. CSRF, от друга страна, е псевдо-доверен потребител, който атакува уебсайт.

Първо, нека разгледаме кода по следния начин:

Входът е видим.

При изпълнение генерираният html код изглежда така:

Входът е видим.

Нека натиснем бутона за тест, за да поискаме тест и да видим дали има бисквитки срещу фалшифициране, както е показано на фигурата по-долу:

Кодът в контролера е следният:

Входът е видим.

Трябва да добавим функцията ValidateAntiForgeryToken към всеки контролер, ако потребителят не донесе AntiForgeryToken, можем да върнем приятелска заявка към потребителя, както следва:

Входът е видим.

Малък боклук · Публикувано в 2.11.2017 г. 11:05:37 ч.

За горния метод трябва да персонализирате функцията и не можете да използвате стандартната функция ValidateAntiForgeryToken

По подразбиране е да вземеш стойността във формата и след това да я оцениш

Инкапсулирах метод за публикуване с jQuery с валидация срещу фалшифициране, и кодът е следният:

Входът е видим.

Малък боклук · Публикувано в 2.11.2017 г. 11:17:36 ч.

IsAjaxRequest за определяне дали е заявка за ajax

По същество IsAjaxRequest() определя дали има поле X-Requested-With в заглавието и дали то е XMLHttpRequest

Разглеждането на документацията е безполезно, зависи от изходния код.

Малък боклук · Публикувано в 20.02.2021 г. 19:22:26 ч.

ASP.NET CSRF атака Ajax заявка за капсулиране
https://www.itsvse.com/thread-8077-1-1.html

Цянчжешу · Публикувано в 9.12.2021 г. 18:37:56 ч.

testtesttesttesttest

[ASP.NET] mvc ajax с AntiForgeryToken за предотвратяване на CSRF атаки

Свързани публикации

Разгледани секции