ASP.NET Core Razor Pages是否默认自动添加防伪令牌无需显式配置？

核心行为说明 #

你遇到的是ASP.NET Core Razor Pages的默认设计，不需要额外添加显式配置：

• 前端表单的__RequestVerificationToken隐藏域是Razor引擎默认渲染的：只要你用Razor写<form method="post">，没手动加asp-antiforgery="false"，就会自动生成该隐藏域，同时写入对应校验Cookie。
• 后端校验也是默认全局开启的：Razor Pages 框架已经内置了全局防伪校验规则，完全不需要你手动加[AutoValidateAntiforgeryToken]特性，这个特性本来是给MVC控制器场景设计的。所有POST请求默认都会校验令牌，校验失败直接返回400错误，不会进入你的OnPost方法。

快速测试校验是否生效 #

两个非常简单的验证方法：

• 浏览器端测试：页面加载完成后按F12打开开发者工具，找到页面里的__RequestVerificationToken隐藏域，删掉这个节点，或者把它的value改成任意乱码，再点击提交按钮，你会看到请求直接返回400 Bad Request，OnPost方法里的断点根本不会命中。
• 接口工具测试：用Postman、curl等工具直接往你的页面地址发POST请求，不携带__RequestVerificationToken表单参数，也不带对应Cookie，请求会直接被框架拦截返回400。

可选调整方案（如果需要关闭默认行为） #

• 单页面跳过校验：给你的PageModel类加[IgnoreAntiforgeryToken]特性即可。
• 单表单不渲染令牌：在form标签上添加asp-antiforgery="false"，渲染时就不会生成隐藏域。
• 全局关闭校验：不推荐，要是确实需要可以在Program.cs里配置：builder.Services.AddRazorPages().AddRazorPagesOptions(o => o.Conventions.ConfigureFilter(new IgnoreAntiforgeryTokenAttribute()));

内容的提问来源于stack exchange，提问作者g.pickardou