响应中不存在 RequestVerificationToken cookie

Question

我的 ASP.NET MVC 应用程序通过使用 ValidateAntiForgeryToken 属性并调用 Html.AntiForgeryToken 以使用令牌值写入隐藏输入元素并将令牌放入 cookie 来防止 CSRF 攻击。

我的异常日志报告 HttpAntiForgeryException 的发生，这些异常看起来像是由有效请求触发的（推荐人看起来正确）。导致异常的响应还在表单字段中包含 __RequestValidationToken 以及令牌值。但是，请求中缺少必要的 cookie，导致验证失败并引发异常。

我正在尝试思考为什么这个 cookie 丢失了，并提出了以下可能的原因：

1. Cookies 集合已满 领域。 - 如果是这样的话 在这里我希望看到 20/50 饼干 在每个请求中（顺便说一句，所有 用户代理是 IE7 和 IE8) 和 不知何故，cookie 被丢弃了。 我看到 3 到 23 块饼干 在各种事件中 异常
2. cookie 数据限制已过 达到了。 - 这并没有发生。经过 查看日志我可以看到 cookie 集合很小。
3. 正在发回响应 在添加 cookie 之前。 - 不确定这个。手动 在头部调用 Reponse.Flush 结果出现异常，说明 cookie 集合无法修改 回复发送后。
4. ？

绝望之下，我向 SO 的工作人员求助，询问导致 cookie 丢失的任何其他可能原因，以便我可以调查。

Answer 1

根据 Josh 的回答（iFrame 中的跨域问题），我将这段代码放入控制器的 BeginExecute 方法中，以实现每次调用所需的行为。除了基本控制器之外，所有其他控制器都派生自该控制器，如果您的站点嵌入在 iFrame 中，您可以实现所有操作都将运行。

protected override IAsyncResult BeginExecute(System.Web.Routing.RequestContext requestContext, AsyncCallback callback, object state)
{
    requestContext.HttpContext.Response.AddHeader("p3p", "CP=\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\"");

    return base.BeginExecute(requestContext, callback, state);
}

Answer 2

我遇到了完全相同的问题。我的内容是通过跨域 iframe 呈现的。根据 Adam Young 的说法，除非您在标头中定义 P3P 策略，否则 IE 将自动阻止第三方 cookie。

我添加了代码，将 p3p 策略注入标头，然后从 iframe 中使用的每个操作中调用它。到目前为止，我们还没有看到这个错误出现。我希望这个解决方案对其他人有帮助。

public static void SetP3PCompactPolicy()
{
    HttpContext.Current.Response.AddHeader("p3p", 
    "CP=\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\"");
}

我还定义了一个机器密钥，尽管我不确定这是必要的。