ASP.NET Core MVC中ValidateAntiForgeryToken失效问题求助

你的核心问题是AntiForgeryToken验证未生效，根源确实和Startup.cs中缺少MVC相关服务配置有关，以下是具体解决步骤：

1. 必须在Startup.cs中注册MVC服务 #

ASP.NET Core的AntiForgery功能依赖于框架提供的服务，而AddControllersWithViews()（针对MVC项目）会自动注册AntiForgery所需的服务。你需要在ConfigureServices方法中添加：

public void ConfigureServices(IServiceCollection services)
{
    // 注册MVC控制器与视图服务，自动包含AntiForgery依赖
    services.AddControllersWithViews();

    // 可选：如果需要自定义AntiForgery配置，可显式添加并配置
    // services.AddAntiforgery(options =>
    // {
    //     options.Cookie.Name = ".YourApp.Antiforgery";
    //     options.FormFieldName = "__CustomAntiForgeryToken";
    // });
}

2. 确保中间件管道配置正确 #

在Configure方法中，必须保证路由和端点映射的中间件顺序正确，否则验证逻辑无法触发：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Home/Error");
        app.UseHsts();
    }

    app.UseHttpsRedirection();
    app.UseStaticFiles();

    app.UseRouting(); // 必须在UseAuthorization和UseEndpoints之前
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
    });
}

3. 验证Action的请求方法 #

[ValidateAntiForgeryToken]默认只验证POST/PUT/DELETE等非GET请求，如果你的MyAction是GET方法，即使加了特性也不会触发验证。确保Action标记了正确的HTTP动词：

[HttpPost] // 必须是修改类请求，GET请求不触发验证
[ValidateAntiForgeryToken]
public IActionResult MyAction(YourModel model)
{
    // 业务逻辑
    return View();
}

4. 额外排查点 #

• 检查是否存在全局过滤器或自定义中间件，意外绕过了AntiForgery验证；
• 表单提交时，确认请求中是否携带了__RequestVerificationToken字段（浏览器F12查看Form Data），如果前端没加@Html.AntiForgeryToken()，这个字段应该不存在，此时后端会返回400错误。

完成以上配置后，移除前端的@Html.AntiForgeryToken()再提交请求，应该会触发验证失败的错误，证明特性生效。

内容的提问来源于stack exchange，提问作者xandune