禁用Cookie时，提交按钮因[ValidateAntiForgeryToken()]无法命中控制器

这是ASP.NET AntiForgeryToken的默认机制导致的：@Html.AntiForgeryToken()会生成两个关键内容——一个名为__RequestVerificationToken的Cookie，以及一个同名的表单隐藏字段。服务器通过[ValidateAntiForgeryToken]验证时，会对比这两个值是否匹配。当Cookie被禁用时，请求中无法携带Cookie里的token，验证直接失败，服务器返回400错误，你的控制器方法自然不会被执行。

下面给你两种实用的处理方案，适配你的Ajax表单场景：

方案一：全局禁用AntiForgeryToken的Cookie依赖 #

适合不想修改太多代码的场景，在Global.asax.cs的Application_Start方法中添加配置：

protected void Application_Start()
{
    // 其他初始化代码...
    
    // 让AntiForgeryToken仅通过表单字段传递，不再依赖Cookie
    AntiForgeryConfig.CookieName = null;
    // 保留X-Frame-Options安全头，防止点击劫持（可选但建议保留）
    AntiForgeryConfig.SuppressXFrameOptionsHeader = false;
}

修改后，@Html.AntiForgeryToken()只会生成表单隐藏字段，服务器验证时仅检查这个字段的值，无需Cookie参与。注意：这种方式下token仍和用户会话绑定，确保你的应用会话状态正常工作即可。

方案二：自定义验证属性，支持灵活获取Token #

如果不想全局修改，可自定义一个验证属性，允许从表单或请求头获取Token，不强制依赖Cookie：

public class ValidateAntiForgeryTokenWithoutCookie : FilterAttribute, IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationContext filterContext)
    {
        var httpContext = filterContext.HttpContext;
        var request = httpContext.Request;

        // 优先从表单获取Token（你的Ajax表单已自动携带）
        var token = request.Form["__RequestVerificationToken"];
        // 也可支持从Ajax请求头获取（如果需要自定义传递方式）
        if (string.IsNullOrEmpty(token))
        {
            token = request.Headers["X-XSRF-TOKEN"];
        }

        if (string.IsNullOrEmpty(token))
        {
            filterContext.Result = new HttpStatusCodeResult(HttpStatusCode.BadRequest);
            return;
        }

        try
        {
            // 仅验证Token值，不检查Cookie
            AntiForgery.Validate(null, token);
        }
        catch (HttpAntiForgeryException)
        {
            filterContext.Result = new HttpStatusCodeResult(HttpStatusCode.BadRequest);
            return;
        }
    }
}

然后把控制器上的[ValidateAntiForgeryToken]替换成这个自定义属性：

[HttpPost]
[ValidateAntiForgeryTokenWithoutCookie]
public ActionResult MyAction(Model model)
{
    // 你的业务逻辑
}

额外提示（针对ASP.NET Core） #

如果是ASP.NET Core项目，配置方式略有不同，在Startup.cs的ConfigureServices中设置：

services.AddAntiforgery(options =>
{
    // 禁用Cookie存储Token
    options.Cookie.Name = null;
});

内容的提问来源于stack exchange，提问作者Nitin Soni