JSON POST 的 ASP.Net MVC CSRF 预防

Question

我想关闭通过 AJAX 发布原始 JSON 的 CSRF 漏洞。

我熟悉使用 ValidateAntiForgeryTokenAttribute 和 @Html.AntiForgeryToken() 自动化 CSRF 预防的 MVC 机制；但是，如果我理解正确的话，此机制要求 POST 使用 application/x-www-form-urlencoded 的 Content-Type 完成>（或类似）。 ASP.Net MVC 中是否有内置机制可以拒绝 Content-Type 为 application/json 的 POST 请求的 CSRF？如果不是，我是否必须将防伪功能放入 JSON 对象本身？您能否推荐一种技术来保护 JSON POST 请求免受 CSRF 漏洞的影响，其安全级别与 ASP.Net MVC 中内置的基于表单的方法具有相同的安全级别？

Answer 1

这个问题引发了一个有趣的讨论。

如果请求的Content-Type是application/json，那么CSRF就不是问题。这是因为 application/json 请求必须通过 XmlHttpRequest 提交，并且作为 AntiForgeryToken 验证的必要部分的 cookie 不能跨站传递，但必须遵守 同源政策。

但是，恶意用户有可能通过 application/x-www-form-urlencoded 提交请求，其中包含看似有效 JSON 请求的信息，并将所有授权 cookie 传递回您的应用程序。对此有更详细的讨论 http://forums.asp.net/t/1624454.aspx/1?MVC3+JSON+Model+binding+not+working+with+AntiForgery在 http://aspnet.codeplex.com/workitem/7472 处，我发布了证明概念。

虽然可以在 JSON 请求中包含 __RequestVerificationToken，但更好的防御措施是创建一个属性来验证请求的类型是否为 application/json，因为任何其他请求都会提交给您的需要 JSON 的操作实际上是无效的，不应该被处理。

我希望这个安全问题将在 MVC 4 中得到解决。

更新：

这是一个简单的 AuthorizeAttribute 类，您可以使用它来装饰任何期望接收 JSON 的操作：

public class JsonRequestAttribute : AuthorizeAttribute
{

    /*
     * 
     *   CONFIRM that this is REALLY a JSON request.
     *   This will mitigate the risk of a CSRF attack
     *   which masquerades an "application/x-www-form-urlencoded" request
     *   as a JSON request
     * 
     */

    public override void OnAuthorization(AuthorizationContext filterContext)
    {
         if (!filterContext.HttpContext.Request.ContentType.StartsWith("application/json", StringComparison.OrdinalIgnoreCase))
         {
             // This request is masquerading as a JSON request, kill it.
             JsonResult unauthorizedResult = new JsonResult();
             unauthorizedResult.Data = "Invalid request";
             unauthorizedResult.JsonRequestBehavior = JsonRequestBehavior.AllowGet;
             filterContext.HttpContext.Response.StatusCode = (int)System.Net.HttpStatusCode.BadRequest;
             filterContext.Result = unauthorizedResult;
         }
    }
}