是否應將AntiForgeryToken應用於每個帖子操作？

Question

在ASP.NET MVC應用程序中，AntiForgeryToken應該應用於每後操作？關於我的頭頂，我想不出任何理由，爲什麼你不會想要包括在每一個帖子後，但似乎沒有人真的建議在你的所有行動中使用它。

我很想聽聽你的看法。

Answer 1

我總是在POST/DELETE/PUT操作中使用它。我希望儘可能確保請求來自我的服務器在更改數據時發送給瀏覽器的頁面。

Answer 2

不向表單添加防僞標記需要完全確定不存在跨網站僞造（或其他）攻擊的可能性。這種情況在未來將不會發現。

另一方面，有一個令牌有一個顯着的缺點嗎？

似乎沒有這樣做總是會在尋找那些「無風險」的情況下更多（精力）的努力。