相关疑难解决方法(0)

我已经在我的应用程序中实现了对我在互联网上的一些博客文章中阅读的信息后的CSRF攻击的缓解.特别是这些帖子是我实施的驱动力

• ASP.NET和Web Tools开发人员内容团队的ASP.NET MVC最佳实践
• Phil Haack博客对跨站点请求伪造攻击的剖析
• ASP.NET MVC框架中的AntiForgeryToken -来自David Hayden博客的Html.AntiForgeryToken和ValidateAntiForgeryToken属性

基本上这些文章和建议说,为了防止CSRF攻击,任何人都应该实现以下代码:

1)添加[ValidateAntiForgeryToken]接受POST Http动词的每个动作

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult SomeAction( SomeModel model ) {
}

2)在<%= Html.AntiForgeryToken() %>向服务器提交数据的表单中添加帮助程序

<div style="text-align:right; padding: 8px;">
    <%= Html.AntiForgeryToken() %>
    <input type="submit" id="btnSave" value="Save" />
</div>

无论如何,在我的应用程序的某些部分,我正在使用jQuery对服务器进行Ajax POST,而根本没有任何形式.例如,当我让用户点击图像来执行特定操作时,会发生这种情况.

假设我有一个包含活动列表的表.我在表的一列上有一个图像,上面写着"将活动标记为已完成",当用户点击该活动时,我正在进行Ajax POST,如下例所示:

$("a.markAsDone").click(function (event) {
    event.preventDefault();
    $.ajax({
        type: "post",
        dataType: "html",
        url: $(this).attr("rel"),
        data: {},
        success: function (response) {
            // ....
        }
    });
});

我如何<%= Html.AntiForgeryToken() %>在这些情况下使用？我应该在Ajax调用的data参数中包含帮助器调用吗？ …