asp.net-mvc C 如何设置AntiForgeryToken cookie路径
HtmlHelper.AntiForgeryToken方法.
[ObsoleteAttribute("This method is deprecated. Use the AntiForgeryToken() method instead. To specify
不推荐使用允许覆盖字符串路径的前 HtmlHelper.AntiForgeryToken方法. [ObsoleteAttribute("This method is deprecated. Use the AntiForgeryToken() method instead. To specify a custom domain for the generated cookie,use the <httpCookies> configuration element. To specify custom data to be embedded within the token,use the static AntiForgeryConfig.AdditionalDataProvider property.",true)] public MvcHtmlString AntiForgeryToken( string salt,string domain,string path ) 告诉您使用< httpCookies>.但是httpCookies Element没有PATH的设置. 这是对这种方法的弃用的疏忽吗?覆盖此cookie路径的最佳方法是什么? (手动?)在虚拟应用程序中运行网站不会隐式地将应用程序路径添加到__RequestVeririfcation cookie. 解决方法 查看弃用消息:“This method is deprecated. Use the AntiForgeryToken() method instead. To specify a custom domain for the generated cookie,use the configuration element. To specify custom data to be embedded within the token,use the static AntiForgeryConfig.AdditionalDataProvider property.” 它告诉我们,只要回读伪造令牌,我们就可以验证其他参数.因此,即使我们无法在cookie中设置路径,我们也可以将路径设置为令牌内的属性.稍后要验证它,例如: public class AdditionalDataProvider : IAntiForgeryAdditionalDataProvider { public string GetAdditionalData(HttpContextBase context) { return AdditionalData(context); } public bool ValidateAdditionalData(HttpContextBase context,string additionalData) { var currentData = AdditionalData(context); return currentData == additionalData; } private static string AdditionalData(HttpContextBase context) { var path = context.Request.ApplicationPath; return path; } }当asp.net生成令牌时,它将存储该应用程序的当前路径(或您要验证的任何其他唯一值) 另外,查看AntiforgeryConfig.cs的代码,如果应用程序在虚拟目录中运行,它将默认在cookie的名称中添加该虚拟目录: private static string GetAntiForgeryCookieName() { return GetAntiForgeryCookieName(HttpRuntime.AppDomainAppVirtualPath); } // If the app path is provided,we're generating a cookie name rather than a field name,and the cookie names should // be unique so that a development server cookie and an IIS cookie - both running on localhost - don't stomp on // each other. internal static string GetAntiForgeryCookieName(string appPath) { if (String.IsNullOrEmpty(appPath) || appPath == "/") { return AntiForgeryTokenFieldName; } else { return AntiForgeryTokenFieldName + "_" + HttpServerUtility.UrlTokenEncode(Encoding.UTF8.GetBytes(appPath)); } }所以它会是这样的: 意思是App2虽然可以从App1接收令牌,但它将无法读取它们,因为它只会查找App2验证令牌. HTH (编辑:甘南站长网) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |
- asp.net – 在fileupload中选择立即调用C#函数文件
- asp.net – OutOfMemoryException当发送大文件500MB使用Fil
- asp.net – 如何将下拉列表添加为gridview项
- asp.net-mvc C 是否有一个ASP MVC与JSTL标签等效?
- asp.net-mvc-4 – AngularJs,DropZone.Js,MVC4 – 拖放,预览
- ASP.Net WebAPI与Ajax进行跨域数据交互时Cookies数据的传递
- 用户控件在asp.net和Performance中
- ASP.NET中上传并读取Excel文件数据示例
- asp.net-mvc – 使用Entity FrameWork保存更改/更新数据集中
- asp.net代码中修改web.config节点的具体方法
- asp.net-core C 如何使用ASP.NET注册OData
- asp.net-mvc C 使用AD的ASP.NET MVC表单Aut
- asp.net-mvc C ASP.NET MVC中的WebApi [Fro
- asp.net C MVC4 C ContextDependentView C
- asp.net-mvc-3 C 如何从ASP.NET MVC#输出中
- asp.net-mvc C 已经使用相同的参数类型定义
- ASP.Net C AJAX UpdatePanel中的Javascript
- asp.net C 适用于多个用户的EWS通知中心
- asp.net-mvc C 未在ELMAH中记录的错误
- asp.net-mvc-4 C 在EF迁移配置类的Seed方法