__RequestVerificationToken이 항상 생성되지는 않습니다.

Question

우리는 여러 가지 양식이있는 페이지가 있습니다. 각 광고에는 @Html.AntiForgeryToken()이 있습니다. 내 로컬 컴퓨터에서 모든 것이 훌륭합니다.

Azure (PAAS)에 배포했지만 모든 요청에 ​​ 일 때 __RequestVerificationToken이 생성되지 않았습니다. 언젠가는 거기에 있고 언젠가는 내가 얻을 필요한 위조 방지 쿠키가 존재하지 않습니다 그리고 드물게 토큰이과 일치하지 않습니다.

나는이 시점에서 완전히 단서가 없다. 우리 코드 나 Azure 환경에 잘못된 것이 있는지 알아낼 수 없습니까? 이 양식에는 아약스가 없습니다.

우리는 <machineKey> 섹션을 web.config에 추가했습니다. 캐싱 없음. 새 장치에서 처음부터 발생하는 경우도 있습니다.

Answer 1

귀하의 문제는 한 페이지에 여러 위조 방지 토큰이있는 여러 양식이 있다고 생각됩니다. 페이지 요청시 양식 숨김 필드에는 두 개의 다른 토큰이 있지만 쿠키에는 하나의 토큰 만 있습니다. 양식 POST에 오류가 발생하는 일치하지 않는 토큰이 있습니다.

페이지에 하나의 양식 만 있으면 AFT가 어떻게 작동하는지보십시오. 그것이 정상적으로 작동한다면 내 가정은 정확합니다.

This answer에는 여러 양식의 페이지에 대한 가능한 해결 방법이 포함되어 있지만 here과 같은 몇 가지 보안 단점이 있습니다.

로컬 호스트에서 모든 것이 정상적으로 작동하는지 잘 모르겠습니다. 간단한 응용 프로그램을 만들고 올바른 쿠키 토큰을 사용하여 양식 POST를 시도했지만 이전 세션의 이전 양식 토큰을 시도했습니다. 놀랍게도 그러한 POST는 성공적으로 통과합니다. asp.net에는이 경우 로컬 요청에 대한 특별한 처리가있을 수 있습니다. 이것에 대한 정보를 찾지 못했습니다.

내 대답은 여전히 ​​당신은 추가 분석을 위해 다음과 같은 데이터를 제공하십시오 수 있습니다 도움이되지 않는 경우 : 반환 된 HTTP 헤더를

1. 원본 페이지 요청을하고 위조 방지 토큰을 형성한다.
2. 전송 된 HTTP 헤더로 POST 요청을 보냅니다.

Answer 2

는 센트리와 푸른 웹 서버 로그의 조합을 사용하여, 조사에 상당한 시간을 소비 한 후, 나는 언급 한 오류의 두 주요 원인을 발견했습니다

휴대 전화에

1),시 브라우저가 백그라운드에서 실행 중이면 OS가 갑자기 중지되어 자원을 비울 수 있습니다. 이 경우 일반적으로 페이지는 휴대 전화의 드라이브에 저장되고 브라우저가 다시 열리면 다시로드됩니다.

하지만 이번에는 세션 쿠키 인 위조 토큰이 본질적으로 새로운 세션이므로 이미 만료되었습니다. 따라서 이전 세션의 HTML을 사용하여 위조 방지 쿠키없이 페이지가로드됩니다. 이로 인해 The required anti-forgery cookie is not present 예외가 발생합니다.

2) 겉보기와 관련되어 있지만, tokens do not match 예외는 일반적으로 접선으로 만 관련됩니다. 원인은 동시에 여러 탭을 여는 사용자 행동 인 것 같습니다.

위조 방지 쿠키는 사용자가 양식이있는 페이지에 도착한 경우에만 할당됩니다. 이것은 그들이 당신의 홈페이지에 갈 수 있고 위조 방지 쿠키가 없다는 것을 의미합니다. 그런 다음 마우스 가운데 버튼을 사용하여 여러 개의 탭을 열 수 있습니다. 여러 탭은 여러 개의 병렬 요청으로, 위조 방지 쿠키가 없습니다.

이러한 요청에는 위조 방지 쿠키가 없으므로 각각에 대해 ASP.NET은 쿠키에 대해 별도의 의사 랜덤 토큰을 생성하고이를 양식에 사용합니다. 그러나 수신 된 마지막 헤더의 결과 만 유지됩니다. 이는 위조 방지 쿠키가 무시 되었기 때문에 다른 모든 페이지의 페이지에 유효하지 않은 토큰이 있음을 의미합니다.

솔루션을

, 나는 페이지가 어떤 형태가없는 경우에도,

1. 안티 위조 쿠키가 모든 페이지에 할당되어 있는지 확인해야 글로벌 필터 및
2. 안티를 만들었습니다 -Fortery 쿠키는 세션에 바인드되지 않습니다. 수명은 사용자 로그인 토큰과 일치하도록 조정해야하지만 모바일 장치가 세션없이 페이지를 다시로드하는 경우 세션간에 지속되어야합니다.

아래 코드는 내부에 전역 필터로 추가해야하는 FilterAttribute입니다. 보안 구멍이 생길 것이라고 생각하지 않지만 보안 전문가가 아니므로 모든 의견을 환영합니다.

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] 
public class AntiForgeryFilter : FilterAttribute, IActionFilter 
{ 
    public void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     var cookie = filterContext.HttpContext.Request.Cookies.Get(AntiForgeryConfig.CookieName); 
     var addCookie = true; 
     if (string.IsNullOrEmpty(cookie?.Value)) 
     { 
      cookie = filterContext.HttpContext.Response.Cookies.Get(AntiForgeryConfig.CookieName); 
      addCookie = false; 
     } 
     if (string.IsNullOrEmpty(cookie?.Value)) 
     { 
      AntiForgery.GetTokens(null, out string cookieToken, out string _); 
      cookie = new HttpCookie(AntiForgeryConfig.CookieName, cookieToken) 
      { 
       HttpOnly = true, 
       Secure = AntiForgeryConfig.RequireSsl 
      }; 
     } 
     cookie.Expires = DateTime.UtcNow.AddYears(1); 
     if(addCookie) filterContext.HttpContext.Response.Cookies.Add(cookie); 
    } 

    public void OnActionExecuted(ActionExecutedContext filterContext) 
    { 
    } 
}