ASP.NET MVC防伪造Cookie令牌与表单令牌不匹配问题求助

嘿，这个防伪造令牌不匹配的问题我之前帮不少开发者解决过，结合你说的场景——加了机器密钥解决自动登出后偶尔出现这个错误，咱们从几个关键点入手排查修复：

很多人图省事让系统自动生成机器密钥，但服务器上应用池一回收，密钥就会重新生成，这时候用户之前的令牌就没法验证了，自然报不匹配。你得手动生成固定的validationKey和decryptionKey，然后把配置写死在web.config里，格式大概是这样：

<system.web>
  <machineKey validationKey="你的静态验证密钥" 
              decryptionKey="你的静态解密密钥" 
              validation="SHA1" 
              decryption="AES" />
</system.web>

要是你用的是负载均衡环境，所有服务器的machineKey必须完全一致，不然跨服务器请求肯定会出令牌不匹配的问题。

• 确保所有需要验证的表单里都正确加了@Html.AntiForgeryToken()，对应的Action方法上也得标注[ValidateAntiForgeryToken]特性，缺一个都不行。
• 别手动篡改__RequestVerificationToken相关的Cookie，ASP.NET会自动处理这些，手动干预百分百会出问题。

虽然你固定了机器密钥，但如果应用池回收时用户还在操作，也可能残留旧令牌导致验证失败：

• 把应用池回收时间调整到凌晨低峰期，减少对用户的影响；
• 要是用的是InProc会话状态，改成StateServer或者SQLServer，避免应用池回收丢失会话数据。

偶尔出现的错误大概率和浏览器缓存有关：用户打开的是缓存了很久的旧页面，里面的令牌早就过期了，提交时自然和当前Cookie不匹配。

• 在表单对应的Controller Action上添加缓存禁用特性：[OutputCache(NoStore = true, Duration = 0, VaryByParam = "*")]，让浏览器每次都请求新页面生成新令牌；
• 告诉用户遇到问题时刷新页面再提交，刷新会重新生成匹配的令牌和Cookie。

如果你的网站用了HTTPS，得确保防伪造Cookie只在HTTPS环境下传输：

• 在web.config里添加：

<system.web>
  <httpCookies requireSSL="true" />
</system.web>

• 或者生成令牌时指定SSL要求：@Html.AntiForgeryToken(new { @RequireSsl = true })，避免Cookie在HTTP环境下被篡改或丢失。

防伪造令牌默认有自己的过期时间，要是会话超时设成1小时，但令牌超时比这个短，就会出现会话还活着但令牌失效的情况。在Global.asax的Application_Start方法里添加：

protected void Application_Start()
{
    AntiForgeryConfig.CookieTimeout = TimeSpan.FromHours(2); // 设置比会话超时更长的时间
}

总的来说，最可能的原因就是机器密钥没固定住，或者页面缓存搞的鬼。先把机器密钥改成静态固定的，再处理缓存问题，这个偶尔出现的错误应该就能搞定了。

内容的提问来源于stack exchange，提问作者Mehdi Rahimi