ASP.NET 5中非空action表单如何自动生成RequestVerificationToken

.NET 5 中表单防伪令牌的自动生成逻辑由内置FormTagHelper控制，默认仅在action属性为空、或显式设置asp-antiforgery="true"时才会生成RequestVerificationToken隐藏域。在不修改单个表单代码、不手动调用防伪令牌方法的前提下，可以通过重写默认FormTagHelper逻辑实现全局自动生成，具体操作如下：

• 实现自定义表单标签助手
  继承内置FormTagHelper类，修改默认的防伪令牌启用规则，默认给所有表单开启令牌生成，同时保留显式关闭的能力：

using Microsoft.AspNetCore.Mvc.TagHelpers;
using Microsoft.AspNetCore.Mvc.ViewFeatures;
using Microsoft.AspNetCore.Razor.TagHelpers;
using System.Threading.Tasks;

[HtmlTargetElement("form")]
public class GlobalAutoAntiforgeryFormTagHelper : FormTagHelper
{
    public GlobalAutoAntiforgeryFormTagHelper(IHtmlGenerator generator) : base(generator)
    {
        // 默认开启所有表单的防伪令牌生成
        Antiforgery = true;
    }

    public override Task ProcessAsync(TagHelperContext context, TagHelperOutput output)
    {
        // 识别表单上显式设置的asp-antiforgery="false"配置，支持个别表单关闭功能
        if (output.Attributes.TryGetAttribute("asp-antiforgery", out var attr))
        {
            if (bool.TryParse(attr.Value.ToString(), out var disableFlag) && !disableFlag)
            {
                Antiforgery = false;
            }
        }
        return base.ProcessAsync(context, output);
    }
}

• 注册自定义标签助手覆盖默认逻辑
  打开视图目录下的_ViewImports.cshtml文件，添加以下配置，移除默认的表单标签助手，启用你自定义的全局版本：

@* 替换为你当前项目的程序集名称 *@
@addTagHelper *, YourProjectAssemblyName
@removeTagHelper Microsoft.AspNetCore.Mvc.TagHelpers.FormTagHelper, Microsoft.AspNetCore.Mvc.TagHelpers

• 方案说明
  • 配置完成后全局生效，所有Razor视图中的<form>标签无论action属性是否为空，都会自动生成RequestVerificationToken隐藏域，不需要修改任何现有表单代码
  • 兼容原有配置逻辑，如果个别表单不需要防伪令牌（比如跨域提交到第三方接口的场景），只需要在对应form标签上添加asp-antiforgery="false"即可单独关闭
  • 不需要在表单内手动调用@Html.Antiforgery()，也不需要给每个表单额外加asp-antiforgery="true"属性，完全无侵入。

内容的提问来源于stack exchange，提问作者Naveed Khan