防止跨站請求僞造（CSRF）攻擊

Question

我已閱讀下面的鏈接，並完全理解除了一部分。我在關於該鏈接的評論中問了一個問題，但沒有人迴應。

http://www.asp.net/web-api/overview/security/preventing-cross-site-request-forgery-(csrf)-attacks

在哪裏我們稱之爲 「ValidateRequestHeader」？

有人能夠回答這個問題嗎？

Answer 1

取決於您是否使用MVC或WebApi來驗證請求。

對於Web Api我會把它放在Message Handler。

而對於MVC我會把它放在Action Filter。

這樣，它達到你的控制器的操作方法之前請求驗證，因爲這是一個橫切關注點也可以僅通過與屬性裝飾它很容易地應用到任何控制器或動作。

MVC已經建立了[ValidateAntiForgeryToken]屬性。我認爲webapi你需要自己手動。