ValidateAntiForgeryToken是否使用POST自动实现？

Question

我在阅读POST被认为是安全的，并且没有得到，并且我们应该在每个控制器的每个动作中实现[ValidateAntiForgeryToken]。

问题是：当我使用[POST]时，是否需要使用[ValidateAntiForgeryToken]数据注释？

Answer 1

它默认关闭。
这有很好的理由。并非每一个岗位都有来自一个形式（尤其如此，因为你的问题被标记asp.net-core）

你应该如果您使用的表单标签助手与[ValidateAntiForgeryToken]

[ValidateAntiForgeryToken] 
public IActionResult Post(Model model) 
{ 
    // ... etc 
} 

装饰你的控制器动作，它会自动将反伪造令牌添加到<form>标记中。

产生看起来像的标记：

<form action="/MyController" method="post"> 
    <input name="__RequestVerificationToken" type="hidden" value="fhTFfhkKNsdfhYazFtN6c4YbZAmsEwG0srqlUqqloi/OIJOIJoijojhishg" /> 
    <!-- rest of form here --> 
</form> 

注意：您也可以手动使用表单助手标签启用/禁用__RequestVerificationToken代：

<form 
asp-controller="MyController" 
asp-action="MyAction" 
asp-antiforgery="false" 
method="post">