CSRF在ASP.NET Core中的处理方法详解

CSRF（Cross-Site Request Forgery）是一种常见的网络攻击，攻击者利用用户已经登录的身份，在用户不知情的情况下发送恶意请求。在 ASP.NET Core 中，可以采取以下措施来防止 CSRF 攻击：

步骤一：使用 Anti-forgery Token

在 ASP.NET Core 中，可以使用 Anti-forgery Token 来防止 CSRF 攻击。Anti-forgery Token 是一种随机生成的令牌，用于验证请求是否来自于合法的源。以下是一个示例：

public class HomeController : Controller
{
    private readonly IAntiforgery _antiforgery;

    public HomeController(IAntiforgery antiforgery)
    {
        _antiforgery = antiforgery;
    }

    [HttpGet]
    public IActionResult Index()
    {
        var tokens = _antiforgery.GetAndStoreTokens(HttpContext);
        ViewBag.AntiforgeryToken = tokens.RequestToken;
        return View();
    }

    [HttpPost]
    [ValidateAntiForgeryToken]
    public IActionResult SubmitForm()
    {
        // 处理表单数据
        return RedirectToAction("Index");
    }
}

在上面的示例中，我们在 Index 方法中使用 _antiforgery.GetAndStoreTokens 方法来生成 Anti-forgery Token，并将其存储在 ViewBag 中。在 SubmitForm 方法中，我们使用 [ValidateAntiForgeryToken] 特性来验证 Anti-forgery Token。

步骤二：使用 SameSite Cookie

在 ASP.NET Core 中，可以使用 SameSite Cookie 来防止 CSRF 攻击。SameSite Cookie 是一种 Cookie，用于限制 Cookie 的发送，只有在同一站点的请求才会发送 Cookie。以下是一个示例：

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.Configure<CookiePolicyOptions>(options =>
        {
            options.MinimumSameSitePolicy = SameSiteMode.Strict;
        });
    }

    public void Configure(IApplicationBuilder app)
    {
        app.UseCookiePolicy();
    }
}

在上面的示例中，我们在 ConfigureServices 方法中配置了 SameSiteMode.Strict，以限制 Cookie 的发送。在 Configure 方法中，我们使用 UseCookiePolicy 方法来启用 SameSite Cookie。

示例一：使用 Anti-forgery Token 防止 CSRF 攻击

以下是一个示例，演示如何使用 Anti-forgery Token 防止 CSRF 攻击：

<form method="post" action="/home/submitform">
    <input type="hidden" name="RequestVerificationToken" value="@ViewBag.AntiforgeryToken" />
    <!-- 其他表单元素 -->
    <button type="submit">提交</button>
</form>

在上面的示例中，我们在表单中添加了一个隐藏的 input 元素，用于存储 Anti-forgery Token。在提交表单时，我们将 Anti-forgery Token 一起提交到服务器端，以验证请求是否来自于合法的源。

示例二：使用 SameSite Cookie 防止 CSRF 攻击

以下是一个示例，演示如何使用 SameSite Cookie 防止 CSRF 攻击：

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.Configure<CookiePolicyOptions>(options =>
        {
            options.MinimumSameSitePolicy = SameSiteMode.Strict;
        });
    }

    public void Configure(IApplicationBuilder app)
    {
        app.UseCookiePolicy();

        app.Use(async (context, next) =>
        {
            context.Response.Cookies.Append("MyCookie", "MyValue", new CookieOptions
            {
                SameSite = SameSiteMode.Strict
            });

            await next.Invoke();
        });
    }
}

在上面的示例中，我们在 ConfigureServices 方法中配置了 SameSiteMode.Strict，以限制 Cookie 的发送。在 Configure 方法中，我们使用 UseCookiePolicy 方法来启用 SameSite Cookie，并在中间件中添加了一个 Cookie，使用 SameSiteMode.Strict 来限制 Cookie 的发送。