使用带链接的 MVC3 AntiforgeryToken？

Question

在我的 MVC3 站点上，我有一个包含多个链接的页面。这些链接都链接回我网站上的路线，具有不同的 ID 值，结构如下：

即：www.mysite.com/links/33351/3

我想利用MVC3 的 antiforgerytoken 机制使我可以确保所有来自链接索引页的 www.mysite.com/links/33351/3 请求。

我熟悉如何将令牌添加到表单中，但是这些都是独立的链接。

我怎样才能做到这一点？

Answer 1

您不能将 AntiForgeryToken 用于 GET 请求（即单击链接）。有关详细信息 - 请参阅 在 HTTP GET 中使用 MVC3 的 AntiForgeryToken避免 Javascript CSRF 漏洞。

一种解决方案是检查 Request.UrlReferrer 确保它们来自您的索引页，但这远不可靠。

也许您可以解释为什么要施加此限制，我也许可以提出替代方案。

Answer 2

感谢上面的评论帮助我解决了这个问题。

本质上，我创建了一个 Javascript 函数来处理项目点击。我页面上的每个链接都有一个 ID，因此我只需将 ID 传递给提交表单的 JS 函数：

<script type="text/javascript"> <!--
    function doClick(itemID) {
        document.getElementById('hid_ItemID').value = itemID;

        // add whatever additional js type processing needed here - ie. analytics, etc.

        document.forms[0].submit();
    }
//-->
</script>

表单本身包含 MVC 防伪令牌标记：

@using (Html.BeginForm("DoRequest", "DoItemClickRq", FormMethod.Post, new { target = "_blank" }))
{
    @Html.AntiForgeryToken()
    <input type="hidden" id="hid_ItemID" name="hid_ItemID" value="" />
.
.
.

控制器方法：

    [ValidateAntiForgeryToken]
    [HttpPost]
    public ActionResult DoItemRequest()
    {
        int itemListID = 0;
        int pagePositionNumber = 0;
        int.TryParse(Request["hid_ItemID"], out itemListID);

。
。
。

Answer 3

1. 为了良好的设计实践，应用程序中可通过 HTTP GET 访问的所有 URL 都应该是幂等的，这意味着无论访问多少次，它们都不应更改状态。听起来这可能是问题的根源，具体取决于“导航到链接执行一些维护”的解释。或者您可能担心由于维护而导致的系统负载。这就是 CSRF 方法通常避免处理 GET 请求的原因之一。
2. 在 URL 中公开 CSRF 令牌（如会话 ID）是不好的安全做法。 URL 可能会泄漏到日志文件、代理服务器中，尤其是当您的站点不使用 100% SSL 时。

网络爬虫是标准的行为良好的爬虫吗？如果是这样，为什么不直接使用 robots.txt 来约束抓取行为呢？

如果这还不够，也许您需要施加某种工作流限制以防止深层链接访问（例如，控制器会拒绝在不首先执行步骤 1 和 2 的情况下访问具有会话 ID A 的链接 X）。