ASP.NET Web API中所有表单是否应校验同一防伪造令牌？

1. 实现令牌与特定表单/操作绑定 #

ASP.NET Core的防伪造系统支持为令牌添加额外验证数据，以此绑定到特定操作或表单：

• 生成绑定令牌：调用GenerateTokens方法时，传入包含操作标识的额外数据，替代默认的GetAndStoreTokens：

  var antiForgery = HttpContext.RequestServices.GetService<IAntiforgery>();
  if (antiForgery != null)
  {
      var tokens = antiForgery.GenerateTokens(HttpContext, new AntiforgeryTokenOptions
      {
          AdditionalData = new Dictionary<string, string>
          {
              ["Action"] = "Edit",
              ["TargetId"] = id.ToString()
          }
      });
      HttpContext.Response.Cookies.Append("XSRF-TOKEN", tokens.RequestToken!, new CookieOptions { HttpOnly = false });
  }
  

• 自定义验证逻辑：要么创建自定义IAntiforgeryValidationProvider全局校验额外数据，要么在Action中手动验证并校验绑定信息：

  [HttpPut("[action]")]
  public async Task<IActionResult> Update([FromQuery] int id, [FromBody] SomeClass updated)
  {
      var antiForgery = HttpContext.RequestServices.GetService<IAntiforgery>();
      if (antiForgery == null) return StatusCode(500);
      
      // 先验证令牌有效性
      var validationResult = await antiForgery.ValidateRequestAsync(HttpContext);
      if (!validationResult.IsValid)
      {
          return BadRequest("无效的防伪造令牌");
      }
      
      // 校验令牌绑定的操作和目标ID
      var tokenData = await antiForgery.GetTokenAsync(HttpContext, "AdditionalData");
      if (tokenData["Action"] != "Edit" || tokenData["TargetId"] != id.ToString())
      {
          return BadRequest("令牌与当前操作不匹配");
      }
      
      _objService.UpdateObj(id, updated);
      return Ok();
  }
  

2. 是否有必要绑定特定表单？ #

大部分业务场景下不需要：

• 防伪造令牌的核心目标是阻止CSRF攻击——只要令牌是用户会话专属的，攻击者无法窃取到用户的令牌，就无法发起伪造请求。绑定表单只是额外的安全加固，属于"深度防御"手段。
• 仅在高敏感操作场景（如资金转账、权限修改）下，才有必要限制令牌的使用范围，避免令牌被盗用后被用于其他高危操作。

3. 为什么不在登录时一次性下发令牌？ #

登录时下发令牌是可行的，但存在以下局限性：

• 缩短泄露风险窗口：每次敏感操作前生成令牌，能缩短令牌的有效时间窗口，降低令牌泄露后被滥用的风险。如果令牌长期不变，一旦泄露，攻击者可在有效期内持续利用。
• 支持匿名场景：部分业务允许用户匿名提交表单（如留言、反馈），此时无法通过登录流程下发令牌，必须为匿名会话单独生成。

4. 是否需要清理或设置令牌过期？ #

需要，建议通过以下方式处理：

• 设置Cookie过期：添加XSRF-TOKEN Cookie时，设置与用户会话一致的过期时间，并启用SameSite增强安全性：

  HttpContext.Response.Cookies.Append("XSRF-TOKEN", tokens.RequestToken!, new CookieOptions 
  { 
      HttpOnly = false,
      Expires = DateTimeOffset.UtcNow.AddHours(2), // 与会话有效期匹配
      SameSite = SameSiteMode.Strict,
      Secure = true // 生产环境建议开启HTTPS时启用
  });
  

• 依赖自动轮换机制：ASP.NET Core默认会在用户会话状态变化（如登录、注销）时自动生成新令牌，旧令牌会失效。也可以自定义IAntiforgeryTokenStore实现更精细的过期逻辑。
• 主动清理令牌：用户注销时，主动清除XSRF-TOKEN Cookie：

  HttpContext.Response.Cookies.Delete("XSRF-TOKEN");
  

内容的提问来源于stack exchange，提问作者robino16