为何ASP.NET Core MVC应用会给HTML元素添加标识符？如何禁用？

原因分析 #

你看到的标识符主要是.NET 6 MVC框架的默认行为，分三类场景：

1. 防伪造令牌字段：框架会自动给表单注入名为__RequestVerificationToken的隐藏<input>元素，用来防范CSRF跨站请求伪造攻击，是默认的安全防护机制。
2. 客户端验证属性：当你用asp-for标签助手绑定模型字段时，框架会自动生成data-val-*开头的属性（比如data-val-required、data-val-maxlength），配合内置的非侵入式JavaScript验证实现客户端实时校验。
3. AJAX表单属性：如果使用了异步表单的Tag Helper（比如asp-ajax-action），会自动添加data-ajax-*系列属性，用来支持AJAX提交逻辑。

禁用方法 #

1. 禁用防伪造令牌 #

• 单个表单禁用：在<form>标签里添加asp-antiforgery="false"属性即可，示例：

  <form asp-action="Submit" asp-antiforgery="false">
    <!-- 表单内容 -->
  </form>
  

• 全局禁用（不推荐）：若确实不需要全局CSRF防护，在Program.cs里移除对应过滤器：

  var builder = WebApplication.CreateBuilder(args);
  builder.Services.AddMvc(options => 
  {
      options.Filters.Remove(typeof(ValidateAntiForgeryTokenAttribute));
  });
  

  注意：全局禁用会大幅降低应用安全性，仅在特殊场景下使用。

2. 禁用客户端验证属性 #

• 单个字段禁用：要么给模型属性加[ValidateNever]特性，要么在视图的asp-for标签里手动加data-val="false"：
  视图层示例：

  <input asp-for="UserName" data-val="false" />
  

  模型层示例：

  [ValidateNever]
  public string UserName { get; set; }
  

• 全局禁用客户端验证：两种方式可选：
  方式一（全局配置）：

  builder.Services.AddMvc(options =>
  {
      options.ModelMetadataDetailsProviders.Add(new SuppressValidationMetadataProvider());
  });
  

  方式二（视图级配置）：在视图顶部添加：

  @Html.EnableClientValidation(false)
  @Html.EnableUnobtrusiveJavaScript(false)
  

3. 禁用AJAX相关属性 #

只要不使用asp-ajax-*系列的Tag Helper属性（比如asp-ajax-action、asp-ajax-method），框架就不会自动生成data-ajax-*属性。如果已经用了，直接移除这些Tag Helper属性即可。

内容的提问来源于stack exchange，提问作者Vincent