ASP.NET MVC-所有类型的请求

Question

I am referencing the official Microsoft documentation for CSRF vulnerabilities:

我正在为ASP.NET MVC应用程序添加保护，其中i 不能保证get请求没有任何副作用。该应用程序很大。我决定应用所有请求中讨论的解决方案。但是，我对未用于提交请求的表格的请求的工作方式感到困惑。

我有此登录表格：

<form action="~/Account/Login" method="post">
    @Html.AntiForgeryToken()
    <div id="loginView">
        <h3>Login</h3>
        <ul>
            <li><label for="UserName">User Name:</label> <input id="UserName" name="UserName" type="text" value="" /></li>
            <li><label for="Password">Password:</label>  <input type="password" id="Password" name="Password" value="" /></li>
            <li><input name="submit" type="submit" id="loginSubmit" value="Log In" /></li>
        </ul>
    </div>
</form>

整个应用程序中都有其他几个@html.antiforgerytoken（）。用户登录后，用户在后台提出请求等。

__ requestVerificationToken是否可以从登录表单中使用以验证所有其他请求？ Microsoft文档指出，为AJAX请求执行此操作：

<script>
@functions{
    public string TokenHeaderValue()
    {
        string cookieToken, formToken;
        AntiForgery.GetTokens(null, out cookieToken, out formToken);
        return cookieToken + ":" + formToken;                
    }
}

$.ajax("api/values", {
    type: "post",
    contentType: "application/json",
    data: {  }, // JSON data goes here
    dataType: "json",
    headers: {
        'RequestVerificationToken': '@TokenHeaderValue()'
    }
});
</script>

我对此的理解是，tokenheadervalue（）将放置在某些全局文件中。然后，我将不得不将令牌添加为所有请求的标题。

最后，在执行每个控制器方法之前，我必须验证令牌。我认为这与此相似：

void ValidateRequestHeader(HttpRequestMessage request)
{
    string cookieToken = "";
    string formToken = "";

    IEnumerable<string> tokenHeaders;

    if (request.Headers.TryGetValues("RequestVerificationToken", out tokenHeaders))
    {
        string[] tokens = tokenHeaders.First().Split(':');

        if (tokens.Length == 2)
        {
            cookieToken = tokens[0].Trim();
            formToken = tokens[1].Trim();
        }
    }

    AntiForgery.Validate(cookieToken, formToken);
}

我错过了什么吗？方法正确吗？