登录页面上的防伪令牌

本文关键字：令牌 登录 | 更新日期: 2023-09-27 18:25:46

我已经在登录页面上实现了防目标令牌。

现在我有一个用户按下键盘上的后退键，当他们在填写凭据后再次点击登录按钮时，他们会得到错误页面。

有没有更好的方法来处理这个案件，比如将他们重定向到新登录页面？

作为登录页面的页面是：/account/login

如果登录详细信息成功，则用户将重定向到：主页/索引页面用户在其上按下按钮。

登录页面上的防伪令牌

不要在登录页面上实现ASP.NET AntiForgeryToken。该令牌基于用户名和其他条件，登录页面假设攻击者已经拥有系统凭据，以便能够利用该页面上的csrf进行攻击。

但是，您应该在登录页面上使用某种形式的CSRF保护-请参阅https://security.stackexchange.com/a/2126/51772

我在这里编写了一个完整的解决方案：https://richardcooke.info/en/2014/keep-users-signed-in-after-asp-net-deploy/

以下是从GET方法调用控制器所需的代码：

private void SetANewRequestVerificationTokenManuallyInCookieAndOnTheForm()
{
    if (Response == null)
        return;
    string cookieToken, formToken;
    AntiForgery.GetTokens(null, out cookieToken, out formToken); 
    SetCookie("__RequestVerificationToken", cookieToken);
    ViewBag.FormToken = formToken;
}
private void SetCookie(string name, string value)
{
   if (Response.Cookies.AllKeys.Contains(name))
       Response.Cookies[name].Value = value;
   else
       Response.Cookies.Add(new HttpCookie(name, value));
}

和代码放在你的视图中代替Html.AntiForgeryToken（）：

@if (ViewBag.FormToken != null)
{
    <text><input name="__RequestVerificationToken" type="hidden" value="@ViewBag.FormToken" /></text>
}
else
{
    <text>@Html.AntiForgeryToken()</text>
}

我的解决方案是：

如果页面再次进入登录页面，请重新加载页面。这将确保新装载的防伪令牌

并且全部完成

我没有像提到的其他帖子一样检查User.Identity.IsAuthenticated，而是使用了一个自定义属性来处理异常，并将用户重定向到主页（如果它是HttpAntiForgeryToken ）

我相信这避免了使用其他方法的任何潜在安全问题，并且[ValidateAntiForgeryToken]应该始终用于POST方法

public override void OnException(ExceptionContext filterContext)
    {
        var controllerName = (string)filterContext.RouteData.Values["controller"];
        var actionName = (string)filterContext.RouteData.Values["action"];
        var model = new HandleErrorInfo(filterContext.Exception, controllerName, actionName);
        if (filterContext.Exception is HttpAntiForgeryException)
        {
            filterContext.Result = new RedirectToRouteResult(
                new RouteValueDictionary
                {
                    { "action", "Index" },
                    { "controller", "Home" }
                });
            filterContext.ExceptionHandled = true;
        }
}
相关文章：