定制ASP.NET Core防伪造验证失败响应的问题排查

你的问题核心是中间件注册顺序不对，或者混淆了「全局Antiforgery中间件」和「ValidateAntiForgeryToken属性过滤器」的执行时机，导致你在自定义中间件里拿不到IAntiForgeryValidationFeature。

情况1：使用全局Antiforgery中间件（app.UseAntiforgery()） #

AntiforgeryMiddleware是在自身执行时才会验证CSRF令牌并设置IAntiForgeryValidationFeature，你之前把自定义中间件放在认证中间件之前，但UseAntiforgery()通常是在认证、路由之后注册的——这就导致你的自定义中间件先跑，Antiforgery还没处理请求，特性自然是null。

正确做法：

把你的自定义中间件放在app.UseAntiforgery()之后，并且要在调用next()之后检测特性（因为AntiforgeryMiddleware会在处理请求流程中设置特性）。示例代码：

// Program.cs 中的管道配置顺序
app.UseAuthentication();
app.UseAuthorization();

// 先注册Antiforgery中间件
app.UseAntiforgery();

// 再注册你的自定义中间件
app.Use(async (context, next) =>
{
    await next();

    // 在next执行后检测特性
    var validationFeature = context.Features.Get<IAntiForgeryValidationFeature>();
    if (validationFeature != null && !validationFeature.IsValid)
    {
        // 输出自定义响应
        context.Response.StatusCode = StatusCodes.Status400BadRequest;
        await context.Response.WriteAsync("CSRF令牌验证失败，请检查请求");
    }
});

app.MapControllers();

情况2：使用[ValidateAntiForgeryToken]属性（局部验证） #

这种场景下，CSRF验证是由动作过滤器处理的，而不是AntiforgeryMiddleware。过滤器的执行时机在中间件管道之后、控制器方法之前——你的自定义中间件在管道早期就执行了，过滤器还没跑，自然拿不到特性。

正确做法：

改用全局结果过滤器来检测IAntiForgeryValidationFeature，示例代码：

// 自定义过滤器类
public class CustomAntiforgeryFailureFilter : IAsyncResultFilter
{
    public async Task OnResultExecutionAsync(ResultExecutingContext context, ResultExecutionDelegate next)
    {
        var validationFeature = context.HttpContext.Features.Get<IAntiForgeryValidationFeature>();
        if (validationFeature != null && !validationFeature.IsValid)
        {
            // 替换默认响应为自定义内容
            context.Result = new BadRequestObjectResult("自定义CSRF验证失败提示");
        }

        await next();
    }
}

// 在Program.cs中注册全局过滤器
builder.Services.AddControllers(options =>
{
    options.Filters.Add<CustomAntiforgeryFailureFilter>();
});

关键总结 #

• 先明确你的CSRF验证是全局中间件模式还是局部属性模式
• 全局中间件模式：自定义中间件必须后置在UseAntiforgery()之后，且在next()执行后检测特性
• 局部属性模式：用全局过滤器替代中间件，利用过滤器的执行时机捕获验证结果

内容的提问来源于stack exchange，提问作者iKingNinja