标准Razor登录页因AntiforgeryToken引发400错误的解决方案与安全疑问

问题场景 #

• 确保处于登出状态
• 在同一浏览器打开两个标签页，均加载标准Razor登录页面
• 在其中一个标签页完成登录后，尝试在第二个标签页提交登录操作

问题现象与临时修复 #

此时第二个标签页会返回400错误，一个快速修复方式是给登录页添加[IgnoreAntiforgeryToken]特性。

核心疑问与安全分析 #

登录页的防伪造令牌有什么作用？ #

虽然登录页是公开可访问的，但防伪造令牌在这里主要用于防范登录CSRF攻击：攻击者可构造恶意页面，诱导已打开目标站点登录页的用户触发请求，在用户不知情的情况下提交攻击者预设的账号密码进行登录。一旦成功，用户浏览器会被登录到攻击者控制的账号，后续用户在该站点的操作（如输入敏感信息、查看数据）都会被攻击者获取。防伪造令牌能阻止这类攻击，因为恶意页面无法获取目标站点生成的有效令牌，提交的请求会被系统拦截。

微软为什么不在标准登录页默认忽略防伪造令牌？ #

微软遵循安全默认原则——即使部分场景下风险看似不高，也默认开启安全防护，避免开发者因对安全细节不熟悉而遗漏防护措施。默认启用防伪造令牌能提升所有基于模板创建的应用的整体安全性，减少潜在漏洞。

添加[IgnoreAntiforgeryToken]是否有安全隐患？ #

是的，直接添加该特性会让登录接口暴露在登录CSRF攻击的风险中。如果你的应用涉及支付、敏感用户隐私等场景，不建议直接忽略；但如果是内部系统、非敏感业务场景，这个临时方案可接受，最好搭配后续优化逻辑降低风险。

优化修复方案 #

如果要使用忽略防伪造令牌的方案，建议在登录接口的Post方法中添加校验逻辑，避免用户已登录状态下用其他账号重复登录导致后续异常：

public async Task<IActionResult> OnPostAsync(string returnUrl = null)
{
    if(User.Identity.IsAuthenticated)
    {
        var isLoggedInAsCurrentUser = (User.Identity.Name == Input.Email);
        return RedirectToPage(isLoggedInAsCurrentUser ? "/Homepage" : "/LoggedinAsOtherUser");
    }
    // 原有登录逻辑...
}

这段代码会先校验用户登录状态：

• 若已登录且当前账号与输入邮箱一致，直接跳转首页
• 若登录账号与输入邮箱不符，跳转提示页面告知用户当前已登录其他账号，避免后续操作出现异常

内容的提问来源于stack exchange，提问作者Brian