ASP.NET MVC - ValidateAntiForgeryToken到期

Question

在网页中,我们提供了用户可以点击进行身份验证的超链接(GET):

@Html.ActionLink("Please Login", "MyMethod", "MyController")

这将映射到以下返回视图的控制器方法:

    [RequireHttps]
    public ActionResult MyMethod()
    {
        return this.View(new MyModel());
    }

此视图包含用户提供凭据的表单; 表单包含所需的AntiForgeryToken.

当用户提交表单时,将调用以下Controller方法:

    [HttpPost]
    [RequireHttps]
    [ValidateAntiForgeryToken]
    public ActionResult MyMethod(MyModel model)
    {
        // my logic
    }

这很好用,大部分时间......

但是,如果用户将浏览器打开一段"重要"时间,然后快速连续执行以下步骤:

1. 单击超链接(GET)以加载登录表单
2. 填写表格并提交

他们得到一个例外,通知他们防伪令牌未提供或无效.

我不明白为什么会这样:View(包含表单)是在浏览器处于休眠状态之后创建的,因此防伪标记应该都是"新鲜的".但是,这个设计显然有问题,但我不确定如何最好地纠正它.

如果您有任何建议,请提前致谢.

格里夫

Answer 1

我正在处理同样的问题,虽然我理解这个问题,但我还不确定最佳解决方案.

Anti-ForgeryToken进程在表单中放置一个输入值,其中第二个值存储在cookie RequestVerificationToken中.这两个都提交给服务器,如果它们不匹配,则抛出错误.

RequestVerficationToken cookie的到期值设置为Session.因此,当用户长时间在页面上打开浏览器然后提交时,将cookie的时间戳与服务器上的会话超时值进行比较 - 默认值为20分钟左右 - 并且已超出,将被删除因此令牌验证失败.

可能的解决方案,所有这些都有潜在的问题;

1. 在页面上放置一个javascript计时器,刷新一些小于会话超时的值.
2. 在服务器上捕获System.Web.Mvc.HttpAntiForgeryException - 并重定向到同一页面.
3. 增加会话超时
4. 更改防伪令牌的到期日期