防止跨站请求伪造（CSRF）攻击

Question

我已阅读下面的链接，并完全理解除了一部分。我在关于该链接的评论中问了一个问题，但没有人回应。

http://www.asp.net/web-api/overview/security/preventing-cross-site-request-forgery-(csrf)-attacks

在哪里我们称之为 “ValidateRequestHeader”？

有人能够回答这个问题吗？

Answer 1

取决于您是否使用MVC或WebApi来验证请求。

对于Web Api我会把它放在Message Handler。

而对于MVC我会把它放在Action Filter。

这样，它达到你的控制器的操作方法之前请求验证，因为这是一个横切关注点也可以仅通过与属性装饰它很容易地应用到任何控制器或动作。

MVC已经建立了[ValidateAntiForgeryToken]属性。我认为webapi你需要自己手动。