如何修复防伪令牌是为用户“”准备的，但当前用户是“xxxx”错误

本文关键字：用户 错误 xxxx 何修复 令牌 | 更新日期: 2023-09-27 18:30:53

提供的防伪令牌是为用户"准备的，但当前用户是"xxxx"。

我已经遵循了每一个可能的解决方案来摆脱这个错误，但没有任何成功：

场景如下：我在浏览器选项卡 A 选项卡 B 中打开了 2 个单独的登录选项卡：1. 我在标签 A 中登录我的网站2. 然后尝试登录选项卡 B

然后发生上述错误

我的 C# Web MVC 登录视图具有：

v class="col-md-4 col-md-offset-4">
                <form class="form-signin" role="form" action=@Url.Action("Login", "Account") method="POST" id="signInForm">
                     @Html.AntiForgeryToken()
                    <div class="form-group">
                        <label for="loginEmail">Email</label>
                        <input  type="text" id="loginEmail" name="loginEmail" class="form-control" placeholder="Email address" >
                    </div>
                    <div class="form-group">
                        <label for="loginPassword">Password</label>
                        <input id="loginPassword" type="password"  name="loginPassword" class="form-control" placeholder="Password" >
                    </div>
                    <button class="btn btn-lg btn-primary btn-block main-btn" type="submit">Sign in</button>
                    <div>
                        <br>
                        <a href="@Url.Action("Index","GettingStarted")">Register</a><br>
                        <a href="@Url.Action("ForgotPassword","Account")">Forgot your password?</a>
                    </div>
                </form>

我的帐户控制器是这样的：

[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public ActionResult Login(LoginModel model)
{
    if (ModelState.IsValid)
    {

如何修复此错误？

如何修复防伪令牌是为用户“”准备的，但当前用户是“xxxx”错误

发生这种情况是因为两个浏览器选项卡共享同一个 cookie 存储。使用第一个选项卡进行身份验证会设置一个新的 Cookie，用于标识您的用户名。提交第二个选项卡时，它将传递从第一个选项卡中成功身份验证中检索到的更新 cookie，以及在身份验证之前加载的隐藏表单字段，该字段将您标识为匿名用户。由于 Cookie 和隐藏表单字段中的用户名不匹配，因此验证失败。

ValidateAntiForgeryTokenAttribute 使用的 AntiForgeryWorker 将经过身份验证的用户名编码到 cookie 和隐藏表单字段中，并确保它们在验证时匹配。因此，每当对用户进行身份验证或更改用户时，如果发布到具有 ValidateAntiForgeryTokenAttribute 的操作，则此验证将失败。

不幸的是，这意味着您的选项仅限于不使用 ValidateAntiForgeryTokenAttribute 保护登录操作、忽略您描述的场景并让验证失败，或者在 MVC 中重新实现防伪实现，以便在验证过程中不包含用户名。

相关文章：