Asp.Net Core启用ResponseCache时DefaultAntiforgery缓存头警告问题

问题原因 #

即便给Action添加了[IgnoreAntiForgeryToken]特性，DefaultAntiForgery中间件仍会对所有响应（包括GET请求）执行处理逻辑——它默认会强制将缓存头设为no-cache, no-store，直接覆盖你通过[ResponseCache]配置的缓存规则，这就是警告产生的根本原因。

解决方案（无需移除DefaultAntiForgery） #

方案1：为特定路径单独配置AntiForgery缓存策略 #

在Program.cs中配置AntiForgery服务时，给需要缓存的路径设置Cacheability = Public，让DefaultAntiForgery不再修改该路径的缓存头：

builder.Services.AddAntiforgery(options =>
{
    // 替换为你实际的Action路由，比如"/Home/Index"
    options.AdditionalPathOptions.Add("/", new AntiforgeryPathOptions
    {
        Cacheability = Microsoft.AspNetCore.Http.Cacheability.Public,
        // 若不需要X-Frame-Options头可设为true，否则保持false
        SuppressXFrameOptionsHeader = false
    });
});

方案2：全局限制AntiForgery仅处理安全请求 #

如果希望DefaultAntiForgery只针对POST/PUT/DELETE这类修改数据的请求生效，可配置它忽略GET请求：

builder.Services.AddAntiforgery(options =>
{
    options.RequestTokenExtractor = context =>
    {
        if (context.Request.Method.Equals("GET", StringComparison.OrdinalIgnoreCase))
        {
            return Task.FromResult<string?>(null);
        }
        return DefaultAntiforgeryTokenExtractor.Instance.ExtractRequestToken(context);
    };

    options.Cacheability = Cacheability.Public;
});

方案3：在Action中手动覆盖缓存头（不推荐） #

如果以上方案不适用，可在Action里手动清除AntiForgery设置的缓存头，强制应用你的缓存规则：

[ResponseCache(Duration = 86400, Location = ResponseCacheLocation.Any, NoStore = false)]
[IgnoreAntiForgeryToken]
public async Task<IActionResult> Index()
{
    ViewData["SearchPlaceholder"] = "Search by Time";
    
    Response.Headers.Remove("Cache-Control");
    Response.Headers.Remove("Pragma");
    
    return View();
}

验证 #

配置完成后重启应用，访问目标Action，警告会消失，响应头会正确显示你设置的Cache-Control规则。

内容的提问来源于stack exchange，提问作者Anton Swanevelder