ASP.NET Core 2.0中Razor页面禁用防伪令牌验证

网络编程 2025/5/13 佚名

3 2 1

在这篇短文中，我将向您介绍如何ASP.NET Core Razor页面中禁用防伪令牌验证。

Razor页面是ASP.NET Core 2.0中增加的一个页面控制器框架，用于构建动态的、数据驱动的网站；支持跨平台开发，可以部署到Windows，Unix和Mac操作系统。

跨站点请求伪造（也称为XSRF或CSRF）是对Web托管应用程序的攻击，因为恶意网站可能会影响客户端浏览器和浏览器信任网站之间的交互。这种攻击是完全有可能的，因为Web浏览器会自动在每一个请求中发送某些身份验证令牌到请求网站。这种攻击形式也被称为一键式攻击或会话控制，因为攻击利用了用户以前认证的会话。关于这个话题可以看我的另一篇博客：ASP.NET Core 防止跨站请求伪造（XSRF/CSRF）攻击。

Razor页面被设计为默认启动防跨站请求伪造攻击的，防伪令牌生成和验证被自动包含在Razor页面中。但是，在某些情况下，您可能想禁用它。

全局禁用

要在Razor页面中全局禁用防伪令牌验证，可以在Startup类的ConfigureServices方法中禁用：

public void ConfigureServices(IServiceCollection services)
 {
  services.AddMvc().AddRazorPagesOptions(o=>
  {
   o.Conventions.ConfigureFilter(new IgnoreAntiforgeryTokenAttribute());
  });
 }

这将关闭整个应用程序的防伪令牌验证。请注意，禁用防伪令牌验证不会阻止生成隐藏字段或cookie。它只是跳过验证过程。

我们知道防伪令牌是通过FormTagHelper生成的，好在ASP.NET Core MVC提供了全局设置标签助手的方法：

public void ConfigureServices(IServiceCollection services)
 {
  services.AddMvc().InitializeTagHelper<FormTagHelper>((helper, context) => helper.Antiforgery = false);
 }

所以全局禁用防伪令牌验证的完整代码如下：

public void ConfigureServices(IServiceCollection services)
 {
  services.AddMvc().AddRazorPagesOptions(o=>
  {
   o.Conventions.ConfigureFilter(new IgnoreAntiforgeryTokenAttribute());
   
  }).InitializeTagHelper<FormTagHelper>((helper, context) => helper.Antiforgery = false);
 }

部分禁用

如果您希望仅禁用特定方法或页面模型的验证，包括如下两个方法：

1、在Startup类的ConfigureServices方法进行配置，不过要提供页面的路径：

public void ConfigureServices(IServiceCollection services)
  {
   services.AddMvc().AddRazorPagesOptions(opotions =>
   {
    opotions.Conventions.AddPageApplicationModelConvention("/demo",
     pageApplicationModel => pageApplicationModel.Filters.Add(new IgnoreAntiforgeryTokenAttribute()));
   });
  }

在此处，我们禁用了 demo 页面的防伪令牌验证。

2、在PageModel上面使用标记：

[IgnoreAntiforgeryToken(Order = 1001)]
 public class DemoModel : PageModel
 {
  public void OnPost()
  {

  }
 }

ValidateAntiForgeryToken标记默认的Order属性为1000，因此IgnoreAntiforgeryToken属性需要一个更高的序号。

上面我们已经说过了禁用防伪令牌验证不会阻止生成隐藏字段或cookie，所以需要禁用FormTagHelper生成令牌。

<form method="post" asp-antiforgery="false">
</form>

关于这个话题就介绍完了，如果您感兴趣，不防测试一下。

ASP.NET,Core,Razor

标签：

ASP.NET,Core,Razor

免责声明：本站文章均来自网站采集或用户投稿，网站不提供任何软件下载或自行开发的软件！如有用户或公司发现本站内容信息存在侵权行为，请邮件告知！ 858582#qq.com

白云城资源网 Copyright www.dyhadc.com

评论“ASP.NET Core 2.0中Razor页面禁用防伪令牌验证”

ASP.NET Core 2.0中Razor页面禁用防伪令牌验证

暂无“ASP.NET Core 2.0中Razor页面禁用防伪令牌验证”评论...

www.dyhadc.com 白云城资源网

129,905影音资源

244,626技术资源

111,817软件资源

578,645站长资源

ASP.NET Core 2.0中Razor页面禁用防伪令牌验证

全局禁用

部分禁用

ASP.NET,Core,Razor

mysql安装后.net程序运行出错的解决方法

.NET中OpenFileDialog使用线程报错的解决方法

评论“ASP.NET Core 2.0中Razor页面禁用防伪令牌验证”

稳了！魔兽国服回归的3条重磅消息！官宣时间再确认！

更新日志

友情链接