ASP.NET Core 2.0中Razor页面禁用防伪令牌验证
在这篇短文中,我将向您介绍如何ASP.NET Core Razor页面中禁用防伪令牌验证。 Razor页面是ASP.NET Core 2.0中增加的一个页面控制器框架,用于构建动态的、数据驱动的网站;支持跨平台开发,可以部署到Windows,Unix和Mac操作系统。 跨站点请求伪造(也称为XSRF或CSRF)是对Web托管应用程序的攻击,因为恶意网站可能会影响客户端浏览器和浏览器信任网站之间的交互。这种攻击是完全有可能的,因为Web浏览器会自动在每一个请求中发送某些身份验证令牌到请求网站。这种攻击形式也被称为 一键式攻击 或 会话控制,因为攻击利用了用户以前认证的会话。关于这个话题可以看我的另一篇博客:ASP.NET Core 防止跨站请求伪造(XSRF/CSRF)攻击。 Razor页面被设计为默认启动防跨站请求伪造攻击的,防伪令牌生成和验证被自动包含在Razor页面中。但是,在某些情况下,您可能想禁用它。 全局禁用要在Razor页面中全局禁用防伪令牌验证,可以在Startup类的ConfigureServices方法中禁用: public void ConfigureServices(IServiceCollection services) { services.AddMvc().AddRazorPagesOptions(o=> { o.Conventions.ConfigureFilter(new IgnoreAntiforgeryTokenAttribute()); }); } 这将关闭整个应用程序的防伪令牌验证。请注意,禁用防伪令牌验证不会阻止生成隐藏字段或cookie。它只是跳过验证过程。 我们知道防伪令牌是通过FormTagHelper生成的,好在ASP.NET Core MVC提供了全局设置标签助手的方法: public void ConfigureServices(IServiceCollection services) { services.AddMvc().InitializeTagHelper<FormTagHelper>((helper,context) => helper.Antiforgery = false); } 所以全局禁用防伪令牌验证的完整代码如下: public void ConfigureServices(IServiceCollection services) { services.AddMvc().AddRazorPagesOptions(o=> { o.Conventions.ConfigureFilter(new IgnoreAntiforgeryTokenAttribute()); }).InitializeTagHelper<FormTagHelper>((helper,context) => helper.Antiforgery = false); } 部分禁用如果您希望仅禁用特定方法或页面模型的验证,包括如下两个方法: 1、在Startup类的ConfigureServices方法进行配置,不过要提供页面的路径: public void ConfigureServices(IServiceCollection services) { services.AddMvc().AddRazorPagesOptions(opotions => { opotions.Conventions.AddPageApplicationModelConvention("/demo",pageApplicationModel => pageApplicationModel.Filters.Add(new IgnoreAntiforgeryTokenAttribute())); }); } 在此处,我们禁用了 demo 页面的防伪令牌验证。 2、在PageModel上面使用标记: [IgnoreAntiforgeryToken(Order = 1001)] public class DemoModel : PageModel { public void OnPost() { } } ValidateAntiForgeryToken标记默认的Order属性为1000,因此IgnoreAntiforgeryToken属性需要一个更高的序号。 上面我们已经说过了禁用防伪令牌验证不会阻止生成隐藏字段或cookie,所以需要禁用FormTagHelper生成令牌。 <form method="post" asp-antiforgery="false"> </form> 关于这个话题就介绍完了,如果您感兴趣,不防测试一下。 (编辑:鄂州站长网) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |
- asp.net – 在没有Global.asax的情况下处理应用程序范围的事
- 充分利用ASP.NET的三种缓存提高站点性能的注意方法
- 在ASP.NET中,什么决定了HostingEnvironment.IsDevelopmentE
- asp.net-core – 编译netcoreapp1.0,代码包含#if!NETSTAND
- 增加ASP.NET站点的executionTimeout和maxRequestLength是否
- asp.net-mvc – 从Api控制器内生成绝对的url to action
- asp.net-mvc – Url.Action如何从模型中添加参数值
- asp.net – 如何正确地大写希腊字在.NET?
- 在ASP.Net网站上使用WCF服务的教程?
- asp.net删除文件session丢失
- asp.net – 转发器控件中的单选按钮列表
- Asp.net mvc验证用户登录之Forms实现详解
- asp.net-mvc-3 – 依赖注入与多个类实现的接口
- asp.net-mvc-3 – System.Web.Mvc.HandleErrorIn
- 将搜索框添加到ASP.Net动态数据列表页面
- asp.net字符串分割函数使用方法分享
- asp.net-mvc-3 – MVC3非顺序索引和DefaultModel
- asp.net-mvc – 从Api控制器内生成绝对的url to
- asp.net-mvc – 为什么Visual Studio崩溃打开ASP
- asp.net-mvc – 如何在ASP.NET MVC中传递页面的元