ASP.NET Core客户端Token获取及前端安全实现最佳实践咨询

不要只选其中一个，安全防护要覆盖访问编辑表单和提交修改请求全流程：

• 保护编辑表单访问：未授权用户就算知道编辑页面的URL，也不能直接打开页面查看或修改数据。实现时在Razor页面的OnGet方法里验证JWT，没有有效Token就返回403或跳转到登录页。
• 保护提交按钮对应的请求：表单提交的POST/PUT请求必须和API的保护逻辑一致，后端接收请求时强制验证Token。就算用户绕过前端按钮构造请求，后端也能拦截未授权操作。

1. Token安全存储：同域场景优先用HttpOnly+Secure属性的Cookie存Token，避免XSS风险；跨域场景用localStorage时，要额外做XSS防护。
2. 前端提前拦截：在页面加载时就检查用户是否持有有效Token，没有的话直接隐藏Edit链接，或者把按钮设为禁用状态，不让用户进入编辑流程。
3. 请求统一带Token：表单提交时，把Token放在请求头（比如Authorization: Bearer <token>）里，和API的认证方式保持一致，后端可以复用同一套JWT验证逻辑。
4. 视觉化授权状态：用带锁的按钮明确区分授权状态——已授权的用户显示可点击的编辑按钮（比如绿色+开锁图标），未授权用户显示禁用的按钮（绿色+锁图标+提示文字），直观告知用户操作权限。

在Razor页面里可以这么写：

@* 假设HasValidJwtToken()是验证Token有效性的方法 *@
@if (HasValidJwtToken())
{
    <a asp-page="Edit" asp-route-id="@Model.Id" class="btn btn-success">
        <i class="fas fa-lock-open"></i> 编辑
    </a>
}
else
{
    <button class="btn btn-success disabled" title="请先登录获取授权">
        <i class="fas fa-lock"></i> 编辑（需授权）
    </button>
}

内容的提问来源于stack exchange，提问作者user2835586