asp.net-mvc – 是否有可能在每次验证后使ASP.NET MVC中的AntiFo

发布时间：2020-12-16 06:52:53 所属栏目：asp.Net 来源：网络整理

导读：我们刚刚对使用ASP.NET MVC构建的应用程序进行了一些渗透测试,其中一个建议是表单中AntiForgeryToken的值可以多次重新提交并且不会过期一次使用后. 根据同步器令牌模式的OWASP recommendations： “一般来说,开发人员只需要为当前会话生成一次此令牌.” 这就

我们刚刚对使用ASP.NET MVC构建的应用程序进行了一些渗透测试,其中一个建议是表单中AntiForgeryToken的值可以多次重新提交并且不会过期一次使用后.

根据同步器令牌模式的OWASP recommendations：

“一般来说,开发人员只需要为当前会话生成一次此令牌.”

这就是我认为ASP.NET MVC AntiForgeryToken的工作方式.

如果我们必须打仗,是否有可能在每次验证后使AntiForgeryToken重新生成新值？

解决方法

防伪令牌只是一个反XSRF令牌.特别是,它不是一次性使用的随机数.如果您的应用程序需要一次性使用nonce,则不能将防伪令牌用于此目的.没有内置功能.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!