@Html.AntiForgeryToken()

<input name="__RequestVerificationToken" type="hidden" value="CfDJ8FBn4LzSYglJpE6Q0fWvZ8WDMTgwK49lDU1XGuP5-5j4JlSCML_IDOO3XDL5EOyI_mS2Ux7lLSfI7ASQnIIxo2ScEJvnABf9v51TUZl_iM2S63zuiPK4lcXRPa_KUUDbK-LS4HD16pJusFRppj-dEGc" />

public void WriteTo(TextWriter writer, HtmlEncoder encoder)
{
 writer.Write("<input name=\"");
 encoder.Encode(writer, _fieldName);
 writer.Write("\" type=\"hidden\" value=\"");
 encoder.Encode(writer, _requestToken);
 writer.Write("\" />");
}

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, AllowMultiple = false, Inherited = true)]

public class ValidateAntiforgeryTokenAuthorizationFilter : IAsyncAuthorizationFilter, IAntiforgeryPolicy
{
 public async Task OnAuthorizationAsync(AuthorizationFilterContext context)
 {
 if (context == null)
 {
 throw new ArgumentNullException(nameof(context));
 }

 if (IsClosestAntiforgeryPolicy(context.Filters) && ShouldValidate(context))
 {
 try
 {
 await _antiforgery.ValidateRequestAsync(context.HttpContext);
 }
 catch (AntiforgeryValidationException exception)
 {
 _logger.AntiforgeryTokenInvalid(exception.Message, exception);
 context.Result = new BadRequestResult();
 }
 }
 }
}

 services.TryAddSingleton<IAntiforgery, DefaultAntiforgery>();

 var tokens = await _tokenStore.GetRequestTokensAsync(httpContext);

public bool TryValidateTokenSet(
 HttpContext httpContext,
 AntiforgeryToken cookieToken,
 AntiforgeryToken requestToken,
 out string message)
{
 //去掉了部分非空的判断

 // Do the tokens have the correct format"http://", StringComparison.OrdinalIgnoreCase) ||
 currentUsername.StartsWith("https://", StringComparison.OrdinalIgnoreCase))
 {
 comparer = StringComparer.Ordinal;
 }

 if (!comparer.Equals(requestToken.Username, currentUsername))
 {
 message = Resources.FormatAntiforgeryToken_UsernameMismatch(requestToken.Username, currentUsername);
 return false;
 }

 if (!object.Equals(requestToken.ClaimUid, currentClaimUid))
 {
 message = Resources.AntiforgeryToken_ClaimUidMismatch;
 return false;
 }

 // Is the AdditionalData valid"color: #800000">注：验证前还有一个反序列化的过程，这个反序列化就是从Cookie中拿到要判断的cookietoken和requesttoken

如何使用
前面粗略介绍了一下其内部的实现，下面再用个简单的例子来看看具体的使用情况：
使用一：常规的Form表单
先在视图添加一个Form表单


<form id="form1" action="/home/antiform" method="post">
 @Html.AntiForgeryToken()
 <p><input type="text" name="message" /></p>
 <p><input type="submit" value="Send by Form" /></p>
</form>


在控制器添加一个Action


[ValidateAntiForgeryToken]
[HttpPost]
public IActionResult AntiForm(string message)
{
 return Content(message);
}


来看看生成的html是不是如我们前面所说，将@Html.AntiForgeryToken()输出为一个name为__RequestVerificationToken的隐藏域：

再来看看cookie的相关信息：

可以看到，一切都还是按照前面所说的执行。在输入框输入信息并点击按钮也能正常显示我们输入的文字。

使用二：Ajax提交
表单：


<form id="form2" action="/home/antiajax" method="post">
 @Html.AntiForgeryToken()
 <p><input type="text" name="message" id="ajaxMsg" /></p>
 <p><input type="button" id="btnAjax" value="Send by Ajax" /></p>
</form>


js:


$(function () {
 $("#btnAjax").on("click", function () {
 $("#form2").submit(); 
 });
})


这样子的写法也是和上面的结果是一样的！
怕的是出现下面这样的写法：


$.ajax({
 type: "post",
 dataType: "html",
 url: '@Url.Action("AntiAjax", "Home")',
 data: { message: $('#ajaxMsg').val() },
 success: function (result) {
 alert(result);
 },
 error: function (err, scnd) {
 alert(err.statusText);
 }
});


这样，正常情况下确实是看不出任何毛病，但是实际确是下面的结果(400错误)：

相信大家也都发现了问题的所在了！！隐藏域的相关内容并没有一起post过去！！
处理方法有两种：
方法一：
在data中加上隐藏域相关的内容，大致如下：


$.ajax({
 // 
 data: { message: $('#ajaxMsg').val(), __RequestVerificationToken: $("input[name='__RequestVerificationToken']").val()}
});


方法二：
在请求中添加一个header


$("#btnAjax").on("click", function () {
 var token = $("input[name='__RequestVerificationToken']").val();
 $.ajax({
 type: "post",
 dataType: "html",
 url: '@Url.Action("AntiAjax", "Home")',
 data: { message: $('#ajaxMsg').val() },
 headers:
 {
  "RequestVerificationToken": token
 },
 success: function (result) {
  alert(result);
 },
 error: function (err, scnd) {
  alert(err.statusText);
 }
 });
});


这样就能处理上面出现的问题了！
使用三：自定义相关信息
可能会有不少人觉得，像那个生成的隐藏域那个name能不能换成自己的，那个cookie的名字能不能换成自己的"htmlcode">

services.AddAntiforgery(option =>
{
 option.CookieName = "CUSTOMER-CSRF-COOKIE";
 option.FormFieldName = "CustomerFieldName";
 option.HeaderName = "CUSTOMER-CSRF-HEADER";
});


相应的，ajax请求也要做修改：


var token = $("input[name='CustomerFieldName']").val();//隐藏域的名称要改
$.ajax({
 type: "post",
 dataType: "html",
 url: '@Url.Action("AntiAjax", "Home")',
 data: { message: $('#ajaxMsg').val() },
 headers:
 {
 "CUSTOMER-CSRF-HEADER": token //注意header要修改
 },
 success: function (result) {
 alert(result);
 },
 error: function (err, scnd) {
 alert(err.statusText);
 }
});


下面是效果：
Form表单：

Cookie：

本文涉及到的相关项目：

  
Mvc
  
Antiforgery
  
HttpAbstractions

关于CSRF相关的内容
Preventing Cross-Site Request Forgery (XSRF/CSRF) Attacks in ASP.NET Core
浅谈CSRF攻击方式
总结
以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，如果有疑问大家可以留言交流，谢谢大家对的支持。