ValidateAntiForgeryToken mit SPA-Architektur

Ich würde Lesen dieser Artikel, wie antiforgery Token mit javascript. Der Artikel ist geschrieben für WebApi, aber es kann leicht angewendet werden, um eine MVC-controller, wenn Sie möchten.

Die kurze Antwort ist etwas wie dieses:
In Ihrem cshtml anzeigen:

<script>
    @functions{
        public string TokenHeaderValue()
        {
            string cookieToken, formToken;
            AntiForgery.GetTokens(null, out cookieToken, out formToken);
            return cookieToken + ":" + formToken;                
        }
    }

    $.ajax("api/values", {
        type: "post",
        contentType: "application/json",
        data: {  }, //JSON data goes here
        dataType: "json",
        headers: {
            'RequestVerificationToken': '@TokenHeaderValue()'
        }
    });
</script>

Dann in Ihrem asp.net controller müssen Sie zur Validierung der token-wie so:

void ValidateRequestHeader(HttpRequestMessage request)
{
    string cookieToken = "";
    string formToken = "";

    IEnumerable<string> tokenHeaders;
    if (request.Headers.TryGetValues("RequestVerificationToken", out tokenHeaders))
    {
        string[] tokens = tokenHeaders.First().Split(':');
        if (tokens.Length == 2)
        {
            cookieToken = tokens[0].Trim();
            formToken = tokens[1].Trim();
        }
    }
    AntiForgery.Validate(cookieToken, formToken);
}

Den Grund Sie will es pass in den Kopf ist, weil wenn Sie übergeben Sie es als parameter-Daten parameter, in deinem ajax-Aufruf, innerhalb der querystring oder den Körper der Anfrage. Dann wird es schwieriger für Sie, um die antiforgery token für alle Ihre verschiedenen Szenarien. Da haben Sie, um Deserialisieren den Körper und dann finden Sie den token ein. In der Header ziemlich konsistent und einfach abrufen.

****edit-ray**

Hier ist ein Beispiel für eine Aktion filter, die Sie verwenden können, um die Attribut-web-api-Methoden, um zu überprüfen, ob eine antiforgerytoken zur Verfügung.

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Helpers;
using System.Web.Http.Filters;
using System.Net.Http;
using System.Net;
using System.Threading.Tasks;
using System.Web.Http.Controllers;
using System.Threading;

namespace PAWS.Web.Classes.Filters
{
    public class ValidateJsonAntiForgeryTokenAttribute : FilterAttribute, IAuthorizationFilter
    {
        public Task<HttpResponseMessage> ExecuteAuthorizationFilterAsync(HttpActionContext actionContext, CancellationToken cancellationToken, Func<Task<HttpResponseMessage>> continuation)
        {
            if (actionContext == null)
            {
                throw new ArgumentNullException("HttpActionContext");
            }

            if (actionContext.Request.Method != HttpMethod.Get)
            {
                return ValidateAntiForgeryToken(actionContext, cancellationToken, continuation);
            }

            return continuation();
        }

        private Task<HttpResponseMessage> FromResult(HttpResponseMessage result)
        {
            var source = new TaskCompletionSource<HttpResponseMessage>();
            source.SetResult(result);
            return source.Task;
        }

        private Task<HttpResponseMessage> ValidateAntiForgeryToken(HttpActionContext actionContext, CancellationToken cancellationToken, Func<Task<HttpResponseMessage>> continuation)
        {
            try
            {
                string cookieToken = "";
                string formToken = "";
                IEnumerable<string> tokenHeaders;
                if (actionContext.Request.Headers.TryGetValues("RequestVerificationToken", out tokenHeaders))
                {
                    string[] tokens = tokenHeaders.First().Split(':');
                    if (tokens.Length == 2)
                    {
                        cookieToken = tokens[0].Trim();
                        formToken = tokens[1].Trim();
                    }
                }
                AntiForgery.Validate(cookieToken, formToken);
            }
            catch (System.Web.Mvc.HttpAntiForgeryException ex)
            {
                actionContext.Response = new HttpResponseMessage
                {
                    StatusCode = HttpStatusCode.Forbidden,
                    RequestMessage = actionContext.ControllerContext.Request
                };
                return FromResult(actionContext.Response);
            }
            return continuation();
        }
    }
}

Ich kämpfte ein wenig mit diesem, da keine der bestehenden Antworten schien einwandfrei zu arbeiten, für den Fall meiner Durandal SPA app basiert auf dem Hot Towel Template.

Hatte ich die Verwendung einer Kombination von Evan Larson und curtisk Antworten zu etwas, das funktionierte so denke ich sein soll.

Meinem index.cshtml-Seite (Durandal unterstützt cshtml neben html) habe ich den folgenden knapp oberhalb der </body> tag

@AntiForgery.GetHtml();

Ich Hinzugefügt eine benutzerdefinierte filter-Klasse wie dies durch Evan Larson, aber ich hatte zu ändern, um Unterstützung zu suchen, bis Sie den cookie-Wert separat und nutzen __RequestVerificationToken wie der name anstatt RequestVerificationToken wie das ist, was geliefert wird, durch AntiForgery.GetHtml();

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Helpers;
using System.Web.Http.Filters;
using System.Net.Http;
using System.Net;
using System.Threading.Tasks;
using System.Web.Http.Controllers;
using System.Threading;
using System.Net.Http.Headers;

namespace mySPA.Filters
{
    public class ValidateJsonAntiForgeryTokenAttribute : FilterAttribute, IAuthorizationFilter
    {
        public Task<HttpResponseMessage> ExecuteAuthorizationFilterAsync(HttpActionContext actionContext, CancellationToken cancellationToken, Func<Task<HttpResponseMessage>> continuation)
        {
            if (actionContext == null)
            {
                throw new ArgumentNullException("HttpActionContext");
            }

            if (actionContext.Request.Method != HttpMethod.Get)
            {
                return ValidateAntiForgeryToken(actionContext, cancellationToken, continuation);
            }

            return continuation();
        }

        private Task<HttpResponseMessage> FromResult(HttpResponseMessage result)
        {
            var source = new TaskCompletionSource<HttpResponseMessage>();
            source.SetResult(result);
            return source.Task;
        }

        private Task<HttpResponseMessage> ValidateAntiForgeryToken(HttpActionContext actionContext, CancellationToken cancellationToken, Func<Task<HttpResponseMessage>> continuation)
        {
            try
            {
                string cookieToken = "";
                string formToken = "";
                IEnumerable<string> tokenHeaders;
                if (actionContext.Request.Headers.TryGetValues("__RequestVerificationToken", out tokenHeaders))
                {
                    formToken = tokenHeaders.First();
                }
                IEnumerable<CookieHeaderValue> cookies = actionContext.Request.Headers.GetCookies("__RequestVerificationToken");
                CookieHeaderValue tokenCookie = cookies.First();
                if (tokenCookie != null)
                {
                    cookieToken = tokenCookie.Cookies.First().Value;
                }
                AntiForgery.Validate(cookieToken, formToken);
            }
            catch (System.Web.Mvc.HttpAntiForgeryException ex)
            {
                actionContext.Response = new HttpResponseMessage
                {
                    StatusCode = HttpStatusCode.Forbidden,
                    RequestMessage = actionContext.ControllerContext.Request
                };
                return FromResult(actionContext.Response);
            }
            return continuation();
        }
    }
}

Später in meinem App_Start/FilterConfig.cs habe ich noch folgende

public static void RegisterHttpFilters(HttpFilterCollection filters)
{
    filters.Add(new ValidateJsonAntiForgeryTokenAttribute());
}

In der Application_Start-unter meiner Global.asax, fügte ich

FilterConfig.RegisterHttpFilters(GlobalConfiguration.Configuration.Filters);

Schließlich für meine ajax-calls habe ich noch eine Ableitung von curtisk Eingangs-lookup, um einen header hinzufügen, um meine ajax-request, in dem Fall eine login-Anfrage.

var formForgeryToken = $('input[name="__RequestVerificationToken"]').val();

return Q.when($.ajax({
    url: '/breeze/account/login',
    type: 'POST',
    contentType: 'application/json',
    dataType: 'json',
    data: JSON.stringify(data),
    headers: {
        "__RequestVerificationToken": formForgeryToken
    }
})).fail(handleError);

Dies bewirkt, dass alle meine post-Anforderungen zu verlangen, eine überprüfung token, basierend auf dem cookie und mit dem versteckten Formular Verifizierung-Token erstellt von AntiForgery.GetHtml();

Aus meinem Verständnis dies wird verhindern, dass das Potenzial für cross-site-scripting-Attacken als angreifende Website benötigen würde, um in der Lage sein, sowohl die Cookies und die versteckte form Wert zu sein in der Lage, selbst zu überprüfen, das wäre viel schwieriger zu erwerben.