将 AntiCSRF 与 ajax 结合使用

Question

我已经安装了 AntiCSRF HTTPModule 但我需要将它与 ajax 一起使用。
令牌字段名称：RaiseException。
Cookie 名称：__CSRFCOOKIE。
我应该使用 ajax POST 手动发送令牌字段值还是还有其他事情要做？
由于我们在这里使用 cookie，任何人都不能创建一个具有相同名称和相同值的 cookie，并将隐藏字段中出现的值发送到服务器并获取数据，或者对此有一些限制？！< br> 谢谢

Answer 1

我不熟悉您正在使用的特定反 CSRF 模块。 ASP.Net 中内置了反 CSRF 支持，但它与 AJAX 兼容。

大多数站点使用安全的仅 HTTP cookie 进行身份验证。所有浏览器都支持同源策略，这意味着只有创建 cookie 的站点才能访问它。

CSRF 攻击之所以有效，是因为黑客不需要查看 cookie，因为用户的浏览器会将它们与任何请求一起发送到您的站点。因此，黑客创建了一个将数据发送到您的网站的表单：

<form action="yoursite.com/userAdmin/Create">
    <input type="text" name="username" value="hackerUser" />
    <input type="text" name="rights" value="godlike" />
    ...
</form>

黑客不是您网站的管理员，但他们可以欺骗为他们做事的用户。

大多数反 CSRF 保护的工作方式相同：要求 POST 表单数据具有站点可以访问但黑客无法欺骗的附加令牌。

因此，.Net 的默认实现会添加一个带有令牌的 cookie，即隐藏输入中的相同令牌，然后检查它们是否匹配。黑客看不到 cookie，因此无法重现隐藏的输入。

这是 AJAX 调用的问题，原因有两个：

• .Net 生成令牌作为隐藏的输入标记，这意味着需要一些 Javascript 才能将其放入 AJAX 调用中。
• .Net 对令牌的检查假定它是表单输入，这意味着 JSON 调用以错误的格式传递它。

听起来您需要做的就是手动将令牌字段名称的值添加到 AJAX 调用中，并确保您正在发送表单数据。