__RequestVerificationToken的用途是什么？

Question

我们有一个.NET C#MVC应用程序,其中有一些表单可以正常工作.现在我们还有一个需要与这些表单进行交互的ASP Classic vbscript页面,但是使用常规帖子我们收到一条错误,指出没有设置__RequestVerificationToken.

因此,我们请求页面,然后将隐藏输入中的令牌和cookie存储在变量中,并使用POST请求将其发送一段时间.它有效.

但看到它绕过它如此简单,无论如何使用它？它几乎不提供任何保护.

Answer 1

这是一个防伪标记(防止CSRF攻击).它保证海报是获得表格的人.

它可以阻止任何人伪造链接并由强制用户激活它.

@HugoDelsing:通过阅读[this](http://blog.stevensanderson.com/2008/09/01/prevent-cross-site-request-forgery-csrf-using-aspnet-mvcs-antiforgerytoken-helper/)我们学习ValidateAntiForgeryTokenAttribute如何工作.但是没有身份验证的imho(即授权过滤器),当您指向帖子时,令牌是无用的.身份验证可防止攻击者获取有效令牌. (2认同)