如何在ASP.NET Core 6 Web API中使用防伪标记，并与外部消费者（如iOS或Android应用程序）一起使用？ 我不需要请求的用户身份验证。 应用程序托管在另一个域上。
我已经开发了一个带有Antiforgery Token的Web API（请参见此链接），以及ASP.NET 6 Razor Pages。 一切都运作得很完美。但是，我该如何开发一个使用此Web API的外部应用程序？问题是，我不知道如何从“外部”应用程序创建Antiforgery Token？我该如何配置应用程序以使用具有Antiforgery Token的Web API？
但是，既然您将从外部应用程序调用API，只需使用上述方法之一。
请查看Microsoft文档上有关CSRF攻击以及如何实现防伪造令牌保护的更多详细信息。
另外，请查看RedHat的这篇文章，以获取有关API安全性的更多信息。
我不同意“在构建API时不需要实现Anti-Forgery Token保护来防止CSRF攻击”的答案。
仍然存在风险，入侵者可能会以某种方式强制客户端应用程序发送恶意请求。
要在.NET Web API中配置Anti-Forgery保护（而不使用MVC Views），您需要使用包Microsoft.AspNetCore.Antiforgery。
Keep in mind that there are two tokens which are being validated: a Cookie Token and a Request Token (from an HTTP header).
// Field IAntiforgery _antiforgery; var tokens = _antiforgery.GetAndStoreTokens(HttpContext);As a result,
tokenswill contain the value:{ "CookieToken": "CfDJ8JPuS3COPd9AmHCMBz_IFVdVzR8cfeD2or9v3qMLlWgRiN812hKbkh4o8TpYl4AdA3uJ3FeoY3eozx59q_uSnloXl80nLEd6twLzkDdn4AifcsGWcwaAxWSrGTui0vwl7-SHjftCfkbj9pAlDC_DS0Q", // Ignore this: built-in mechanism for forms "FormFieldName": "__RequestVerificationToken", "HeaderName": "X-XSRF-TOKEN", "RequestToken": "CfDJ8JPuS3COPd9AmHCMBz_IFVfnP50wBywG2WJmFoYA7nx-VGzBjPRY16-p3BBFRMUGHt4cz-M-VrZ_jX_7vUoIt0OX3xhHNw8swt0CebGa4P41cVej2F_DvvayOvrhbY6s3Z2U1aZWHmAvBT8NlH7ueRE" }Note that
CookieTokenandRequestTokenare different.Cookie Token is handled automatically. But Request Token should be handled by us.
Create a validation middleware:
public class AntiforgeryMiddleware : IMiddleware
{
private readonly IAntiforgery _antiforgery;
public AntiforgeryMiddleware(IAntiforgery antiforgery)
{
_antiforgery = antiforgery;
}
public async Task InvokeAsync(HttpContext context, RequestDelegate next)
{
var isGetRequest = string.Equals("GET", context.Request.Method, StringComparison.OrdinalIgnoreCase);
if (!isGetRequest)
{
await _antiforgery.ValidateRequestAsync(context);
}
await next(context);
}
}
Configure DI in your Web API application:
// Startup.cs
public void ConfigureServices(IServiceCollection services)
{
// ...
// Extension method comes from the `Microsoft.AspNetCore.Antiforgery` package
services.AddAntiforgery(options =>
{
options.HeaderName = "X-XSRF-TOKEN";
});
services.AddScoped<AntiforgeryMiddleware>();
}
Configure a validation middleware:
// Startup.cs
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
// ...
app.UseMiddleware<AntiforgeryMiddleware>();
app.UseEndpoints(endpoints =>
{
endpoints.MapControllers();
});
}
Create a XSRF Token endpoint:
[Route("api/xsrf-token")]
[ApiController]
public class AntiForgeryController : Controller
{
private IAntiforgery _antiforgery;
public AntiForgeryController(IAntiforgery antiforgery)
{
_antiforgery = antiforgery;
}
[IgnoreAntiforgeryToken]
public IActionResult Get()
{
// Creates and sets the cookie token in a cookie
// Cookie name will be like ".AspNetCore.Antiforgery.pG4SaGh5yDI"
var tokens = _antiforgery.GetAndStoreTokens(HttpContext);
// Take request token (which is different from a cookie token)
var headerToken = tokens.RequestToken;
// Set another cookie for a request token
Response.Cookies.Append("XSRF-TOKEN", headerToken, new CookieOptions
{
HttpOnly = false
});
return NoContent();
}
}
On the client make a request to the URL /api/xsrf-token.
Then read a request token cookie XSRF-TOKEN and set it to a X-XSRF-TOKEN HTTP header for non-GET requests:
X-XSRF-TOKEN: <request-token>
/api/xsrf-token 来获取令牌，这里的安全性在哪里？ - Denis.GetAwaiter().GetResult()是完全不必要的，只需调用await即可。 - Major我之前曾经是一个安全冠军，所以知道什么是安全（但最近没有跟进这个话题）。但在每个会议或培训中通常有两件事是真实的：
在您的情况下，问题在于Antiforgery Token（CSRF保护）在API中不可用。它只在MVC中可用，有充分的理由：
