如何在ASP.NET Core中默认防止CSRF

Question

灵感来自:如何在ASP.NET MVC 4中默认防止CSRF？

有没有办法在ASP.NET Core中实现相同的结果？

Answer 1

您可以将其应用AutoValidateAntiforgeryTokenAttribute为全局过滤器Startup.ConfigureServices(),因此它会自动应用于您的所有路径:

services.AddMvc(options => 
    options.Filters.Add(new AutoValidateAntiforgeryTokenAttribute()));

请注意,AutoValidateAntiforgeryTokenAttribute仅适用于不安全的请求(POST,PUT),而不是安全的请求(GET,HEAD,OPTIONS,TRACE).这样,只有易受CSRF攻击的操作才需要防伪签名.确保只有POST或PUT操作可以修改数据,这一点很重要!

非API应用程序的官方文档推荐使用此全局过滤方法.