关于webform 防止跨站请求攻击（CSRF），AntiForgery 方法的使用问题，求指教~

[u011120525]

首先感谢 Nic Pei提供的方法，详细方法传送门

小的现在有几个疑问，想请教下
先上代码
前台：

后台：


AntiForgery.Validate(cookie.Value,Token);这个方法来验证请求是否来自本站。

我的疑问：这个方法返回的是void类型，那如何判断 或者比较 Token的真实性呢？

是通过cookie 不为null 、 Token不为空，来判断这个请求是本站发出的么？那webconfig里配置的key的作用是干什么的，经过本地调试，发现，cookie.value 是不变的，每次刷新页面 Token的值 是在变的，提交还是可以通过的。
如果屏蔽掉webconfig 的配置还是可以通过验证，方法不会报错。如果伪造一个页面Token 在保证一个长度一致的格式一致的字符串，也是可以通过验证。
通过验证的意思就是AntiForgery.Validate(cookie.Value,Token)方法不报错，小的实在是不知道该怎么判断了
可能描述的不是很好

[zhaoyunrui]

最简单的方法 就是你用session去保存。请求页面的时候 生成这个Token。在你处理请求的地方 去抓取前端存储的数据。就可以了。用完记得清掉。重新生成个新的。你的代码上基本上改不了多少。

[u011120525]

别沉~~~~~~

[编程有钱人了]

 public class AjaxValidateAntiForgeryTokenAttribute : AuthorizeAttribute
    {
        public override void OnAuthorization(AuthorizationContext filterContext)
        {
            var request = filterContext.HttpContext.Request;
            if (request.HttpMethod == WebRequestMethods.Http.Post)
            {
                if (request.IsAjaxRequest())
                {
                    var antiForgeryCookie = request.Cookies[AntiForgeryConfig.CookieName];
                    var cookieValue = antiForgeryCookie != null? antiForgeryCookie.Value: null;
                    //从cookies 和 Headers 中 验证防伪标记
                    //这里可以加try-catch
                    AntiForgery.Validate(cookieValue, request.Headers["__RequestVerificationToken"]);
                }
                else
                {
                    new ValidateAntiForgeryTokenAttribute().OnAuthorization(filterContext);
                }
            }
        }
    }

然后每个action加 [AjaxValidateAntiForgeryToken]

 [HttpPost]
        [AjaxValidateAntiForgeryToken]
        public ActionResult CheckSend(FormCollection fc)
        {
            string apid = fc["apid"];
            ApplyList apply = new ApplyList();
            apply.SubmitSchool = 1;
            apply.S_Id = 1;
            apply.Id = int.Parse(apid);
            List<string> lsfield = new List<string>();
            lsfield.Add("SubmitSchool");
            lsfield.Add("S_Id");
            _applyListService.UpdateApplyStatus(apply, lsfield);
            return Json(new { status = "1" });
        }