एंटीफॉर्गेरी फॉर्म फॉर्म प्रमाणीकरण के बिना टोकन

Question

हमारे पास एक ऐसी वेबसाइट है जो एमवीसी 3 और एक कस्टम प्रमाणीकरण विधि का उपयोग करती है जो कि फॉर्म प्रमाणीकरण पर निर्भर नहीं है - कम से कम मैं जो कह सकता हूं उससे। web.config में हम

<authentication mode="None"></authentication> 

की स्थापना की और हम का उपयोग कभी नहीं/कोड में कहीं भी HttpContext.User निर्धारित किया है। समस्या यह है @ Html.AntiForgeryToken() का उपयोग करते समय कुछ मामलों में उपयोगकर्ता यह त्रुटि संदेश हो जाता है:

A required anti-forgery token was not supplied or was invalid 

हम इस कोड के साथ OnAuthorization में सभी विरोधी जालसाजी चेकों को केंद्रीकृत:

if (String.Compare(filterContext.HttpContext.Request.HttpMethod, "post", true) == 0) 
{ 
    var forgery = new ValidateAntiForgeryTokenAttribute(); 
    forgery.OnAuthorization(filterContext); 
} 

है जहां अपवाद होता है। एप्लिकेशन पूल रीसायकल करते समय नई कुंजी उत्पन्न होने से रोकने के लिए हमारे पास defined a machineKey in web.config है। इससे समस्या ठीक नहीं हुई।

अगला हमने सोचा कि शायद ग्राहक का ब्राउज़र कुकीज़ नहीं भेज रहा है। हमने कुकीज़ लॉगिंग शुरू कर दी और ध्यान दिया कि कुछ मामलों में RequestVerificationToken_Lw कुकी भेजी जाती है, लेकिन अन्य में नहीं है - भले ही अन्य कुकीज़, जैसे कि Google Analytics द्वारा बनाए गए, ठीक ठीक से भेजे जाते हैं। क्या ब्राउज़र में कुछ ऐसा हो सकता है जो कुछ कुकीज़ को अलग कर रहा है और दूसरों को छोड़ रहा है?

यह anti-forgery token depends on forms authentication जैसा लगता है। क्या यह मामला है? एक विश्वसनीय तरीके से फॉर्म प्रमाणीकरण का उपयोग न करने पर एंटीफोर्गेरी टोकन का उपयोग जारी रखने का कोई भी तरीका। ध्यान रखें कि ऊपर वर्णित विधि 90% से अधिक मामलों के लिए काम करती है, लेकिन हम यह नहीं समझ सकते कि यह कुछ लोगों के लिए क्यों काम नहीं करता है।

विचार?
धन्यवाद!

Answer 1

क्या कुछ उपयोगकर्ताओं को यह समस्या हर समय होती है? या बस कुछ समय? साथ ही, क्या यह हर समय कुछ तरीकों से काम करता है या क्या यह एक ही क्रिया विधि के लिए असंगत है? क्या आपके पास कोई AJAX कॉल है? डिफ़ॉल्ट एंटी-जालसाजी टोकन कार्यान्वयन AJAX कॉल को संभाल नहीं करता है। लेकिन आप काम करने के लिए कुछ कस्टम कोड लिख सकते हैं

Answer 2

क्या आप फॉर्म के अंदर एंटीफॉर्गेरी टोकन जोड़ रहे हैं? एंटीफॉर्गेरी टोकन क्लाइंट पर एक छिपे हुए HTML तत्व के माध्यम से संग्रहीत किया जाता है, इसलिए कुकी के रूप में नहीं। दूसरा प्रश्न यह होगा कि वे किस ब्राउज़र संस्करण का उपयोग कर रहे हैं? क्या नवीनतम में अपग्रेड कर सकते हैं?

@using (Html.BeginForm()) 
    { 
     @Html.AntiForgeryToken()...