ASP.NET MVC - GET 请求上的 CSRF

服务器

ASP.NET MVC - GET 请求上的 CSRF

在网络应用程序中，跨站请求伪造（CSRF）是一种常见的安全漏洞，攻击者通过利用用户的登录状态，发送伪造的请求来执行非法操作。ASP.NET MVC框架提供了一种简单有效的方式来防止GET请求上的CSRF攻击。

CSRF攻击的危害

CSRF攻击可以导致用户的隐私泄露、账户被盗、恶意操作等安全问题。攻击者可以通过诱导用户点击恶意链接或者在受信任的网站中注入恶意代码来发起CSRF攻击。一旦用户登录了另一个网站，攻击者就可以利用用户的登录状态执行非法操作。

ASP.NET MVC的防护机制

ASP.NET MVC提供了一种简单有效的方式来防止GET请求上的CSRF攻击，即使用AntiForgeryToken。AntiForgeryToken是一个随机生成的令牌，用于标识请求的合法性。在每个表单中，都会包含一个隐藏的字段，用于存储AntiForgeryToken的值。当用户提交表单时，ASP.NET MVC会将表单中的AntiForgeryToken与服务器端存储的值进行比较，如果两者一致，则认为请求合法，否则拒绝请求。

生成AntiForgeryToken

在ASP.NET MVC中，可以使用@Html.AntiForgeryToken()方法来生成AntiForgeryToken，然后将其嵌入到表单中的隐藏字段中。

csharp
@using (Html.BeginForm("Action", "Controller", FormMethod.Post))
{
    @Html.AntiForgeryToken()
    // 其他表单字段
    <input type="submit" value="提交" />
}

在上述代码中，@Html.AntiForgeryToken()会生成一个AntiForgeryToken，并将其嵌入到隐藏字段中。当用户提交表单时，服务器端会验证表单中的AntiForgeryToken与服务器端存储的值是否一致。

验证AntiForgeryToken

在服务器端，可以使用[ValidateAntiForgeryToken]特性来验证表单中的AntiForgeryToken。

csharp
[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult Action(FormModel model)
{
    // 处理表单提交
    return View();
}

在上述代码中，[ValidateAntiForgeryToken]特性会告诉ASP.NET MVC在处理POST请求时验证表单中的AntiForgeryToken。如果表单中的AntiForgeryToken与服务器端存储的值不一致，ASP.NET MVC会返回一个CSRF验证失败的错误。

通过使用AntiForgeryToken，ASP.NET MVC提供了一种简单有效的方式来防止GET请求上的CSRF攻击。开发人员只需要在表单中添加隐藏字段，并在服务器端使用[ValidateAntiForgeryToken]特性进行验证即可。这样可以有效地保护用户的隐私和安全。

参考文献：

- [ASP.NET MVC Security - Preventing Cross-Site Request Forgery (CSRF)](https://docs.microsoft.com/en-us/aspnet/mvc/overview/security/xsrfcsrf-prevention-in-aspnet-mvc-and-web-pages)