angularjs – .net核心MVC：X-SRF-TOKEN不被接受,400返回

https://docs.microsoft.com/en-us/aspnet/core/security/anti-request-forgery

>我添加了services.AddAntiforgery(options => options.HeaderName =“X-XSRF-TOKEN”);到我的服务配置
>我在加载页面时在开发人员工具中看到了XSRF-TOKEN cookie.
>我看到X-XSRF-TOKEN标头被添加到我的$http发送请求中.
>我已将[AutoValidateAntiforgeryToken]添加到处理ajax请求的控制器.
>我已启用ssl,并通过https访问这些页面.

我可以按预期通过此api端点使GET请求正常.但是,我收到400错误,没有任何有关PUT和POST请求错误的详细信息.

我知道X-XSRF-TOKEN是请求的(在chrome dev工具的网络选项卡中看到)所以我不确定我缺少什么来允许正确接收这些请求.

TL; DR：为什么.net核心拒绝我的有效AntiforgeryToken？

更新尝试@ joey建议的解决方案,但它没有工作,仍然收到400个响应.下面的代码反映了我试图解决这个问题的另一个解决方案(aka angularjs的解决方案,为跨站点脚本保护设置默认cookie和标头)

我还尝试配置AngularJS以更改cookie和标题名称与我在Startup.cs中配置的名称相匹配的内容.我更改了他们的名字以尝试XSRF-TOKEN(cookie)和X-XSRF-TOKEN(标题)以及CSRF-TOKEN和X-CSRF-TOKEN,而angular内的配置正确地使用了新的默认值我提供,我在.net核心中的身份验证代码仍然无效.

有关更多信息,请参阅我如何配置AngularJS：

app.config(function ($httpProvider) {
    $httpProvider.defaults.xsrfHeaderName = 'X-CSRF-TOKEN';
    $httpProvider.defaults.xsrfCookieName = 'CSRF-TOKEN';
});

这是我在Startup.cs文件中的ConfigureServices行：

services.AddAntiforgery(options => options.HeaderName = "X-CSRF-TOKEN");

最后这是我添加到Startup.cs文件的Configure方法的代码：

app.Use(next => context => 
    {
        string path = context.Request.Path.Value;
        if (path.Contains("/MyProtectedPath/"))
        {
            var tokens = antiforgery.GetAndStoreTokens(context);
            context.Response.Cookies.Append("CSRF-TOKEN",tokens.RequestToken,new CookieOptions { HttpOnly = false });
        }
        return next(context);
    });

更新2：
我已将以下内容添加到控制器操作中：

if (HttpContext.Request.Method.ToLower(CultureInfo.InvariantCulture) != "get")
{
    await _antiforgery.ValidateRequestAsync(HttpContext);
}

AntiforgeryValidationException：提供的防伪令牌适用于与当前用户不同的基于声明的用户.

我想也许是antiforgery.GetAndStoreTokens(上下文)可能会覆盖页面加载时发送的当前cookie,所以我只让它在GET请求上点击该代码,但我得到的帖子结果相同.

更新3
感谢@joey的帮助,我查看了我的startup.cs文件,并在单独的分支中使用了UseAuthentication：

app.Use(next => context => //note: order of these use statements is key. keep this antiforgery section above auth!
    {
        string path = context.Request.Path.Value;
        if (path.ToLower(CultureInfo.InvariantCulture).Contains("/campaigns/proxy/"))
        {
            var tokens = antiforgery.GetAndStoreTokens(context);
            context.Response.Cookies.Append("XSRF-TOKEN",new CookieOptions { HttpOnly = false });
        }
        return next(context);
    });

    // Use Basic Auth for /api
    app.UseWhen(context => context.Request.Path.StartsWithSegments(new PathString("/api")),branch =>
    {
        branch.UseBasicAuth();
    });
    // Use Identity for everything except /api
    app.UseWhen(context => !context.Request.Path.StartsWithSegments(new PathString("/api")),branch =>
    {

        app.UseAuthentication(); // required for .net core 2.0 authentication
    });

我不确定为什么我的令牌在这一点上会被视为无效……