.NET Framework+React SPA的Antiforgery配置及过期安全性疑问

首先明确：如果攻击者获取到用户A的这个永不过期令牌，即使用户A登出后重新登录，攻击者仍能用该令牌伪造用户A的请求——因为令牌和用户A的身份（加密的用户名）绑定，且没有过期限制，验证逻辑只会匹配身份信息，不会检查令牌是否失效。这种情况完全符合CSRF攻击的条件，你的实现确实存在漏洞。

下面针对.NET Framework + React SPA的场景，给出具体的修复方案：

方案1：为令牌添加过期时间并绑定会话 #

既然你是手动生成令牌，我们可以在令牌中嵌入过期时间，同时绑定到用户的会话ID（每次登录会话ID会重置），确保登出后旧令牌直接失效。

1.1 修改令牌生成逻辑 #

在你的令牌生成控制器中，加入会话ID和过期时间，并加密后返回给前端：

public ActionResult GetAntiforgeryToken()
{
    // 获取当前用户会话ID
    var sessionId = HttpContext.Session.SessionID;
    string cookieToken, formToken;
    
    // 传入会话ID作为令牌的"用途"标识，绑定会话
    AntiForgery.GetTokens(sessionId, out cookieToken, out formToken);
    
    // 设置令牌有效期（建议和身份验证Cookie保持一致，比如1小时）
    var expires = DateTime.UtcNow.AddHours(1);
    
    // 组合令牌数据并加密（避免前端篡改）
    var tokenData = new 
    {
        CookieToken = cookieToken,
        FormToken = formToken,
        Expires = expires,
        SessionId = sessionId
    };
    var encryptedToken = MachineKey.Encode(JsonConvert.SerializeObject(tokenData), MachineKeyProtection.All);
    
    return Json(new { RequestVerificationToken = encryptedToken }, JsonRequestBehavior.AllowGet);
}

1.2 更新验证逻辑 #

在你的AuthorizeFilter中，先解密令牌、检查过期和会话匹配，再验证Antiforgery：

void ValidateRequestHeader(HttpRequestMessage request)
{
    IEnumerable<string> tokenHeaders;
    if (!request.Headers.TryGetValues("RequestVerificationToken", out tokenHeaders))
    {
        throw new HttpAntiForgeryException("缺少防伪造令牌");
    }
    
    var encryptedToken = tokenHeaders.First();
    try
    {
        // 解密令牌数据
        var decryptedData = MachineKey.Decode(encryptedToken, MachineKeyProtection.All);
        var tokenData = JsonConvert.DeserializeObject<dynamic>(decryptedData);
        
        // 1. 检查令牌是否过期
        if (tokenData.Expires <= DateTime.UtcNow)
        {
            throw new HttpAntiForgeryException("防伪造令牌已过期");
        }
        
        // 2. 检查会话ID是否匹配（登出后会话重置，旧令牌会话ID失效）
        var currentSessionId = request.GetOwinContext().Session.SessionID;
        if (tokenData.SessionId != currentSessionId)
        {
            throw new HttpAntiForgeryException("无效的会话绑定令牌");
        }
        
        // 3. 验证Antiforgery令牌本身
        AntiForgery.Validate(tokenData.SessionId, tokenData.CookieToken, tokenData.FormToken);
    }
    catch (Exception ex)
    {
        throw new HttpAntiForgeryException("防伪造令牌验证失败", ex);
    }
}

方案2：复用框架默认的Antiforgery Cookie机制（更简单） #

其实.NET Framework的Antiforgery组件默认支持会话绑定和Cookie过期管理，你可以放弃手动生成双令牌的方式，让框架自动处理Cookie：

2.1 令牌获取接口 #

public ActionResult GetAntiforgeryToken()
{
    // 框架自动设置`__RequestVerificationToken` Cookie（会话级，关闭浏览器失效）
    var formToken = AntiForgery.GetTokens(null, out _);
    return Json(new { RequestVerificationToken = formToken }, JsonRequestBehavior.AllowGet);
}

2.2 前端请求配置 #

React发起请求时，需要确保携带Cookie（浏览器默认会自动发送__RequestVerificationToken Cookie，但AJAX需要开启withCredentials）：

axios.post('/api/your-endpoint', data, {
  headers: {
    'RequestVerificationToken': 你存储的formToken
  },
  withCredentials: true
})

2.3 验证逻辑简化 #

直接调用框架的验证方法，它会自动从Cookie和请求头中读取令牌并验证：

void ValidateRequestHeader(HttpRequestMessage request)
{
    // 自动验证Cookie中的令牌和请求头中的令牌
    AntiForgery.Validate();
}

这种方式的优势是：框架自动处理令牌的会话绑定和过期（Cookie随会话失效），无需手动管理加密和过期逻辑，更不容易出错。

额外注意事项 #

• 用户登出时，前端必须立即清除存储的Antiforgery令牌，避免旧令牌被误用。
• 确保你的身份验证Cookie配置了HttpOnly和Secure属性，降低XSS窃取Cookie的风险。

内容的提问来源于stack exchange，提问作者lepia_87