ASP.NET MVC - ValidateAntiForgeryToken

Question

समाप्त हो रही एक वेब पेज में हम एक हाइपरलिंक (GET) उपयोगकर्ता को प्रमाणित करने के पर क्लिक कर सकते है कि प्रदान करते हैं:

@Html.ActionLink("Please Login", "MyMethod", "MyController") 

यह निम्न नियंत्रक विधि है जो एक दृश्य रिटर्न का मानचित्रण:

[RequireHttps] 
    public ActionResult MyMethod() 
    { 
     return this.View(new MyModel()); 
    } 

इस दृश्य में वह फॉर्म शामिल है जिसमें उपयोगकर्ता अपने प्रमाण-पत्र प्रदान करता है; फॉर्म में आवश्यक एंटीफोर्गेरी टोकन शामिल है।

उपयोगकर्ता प्रपत्र सबमिट करते हैं, तो निम्न नियंत्रक विधि कहा जाता है:

[HttpPost] 
    [RequireHttps] 
    [ValidateAntiForgeryToken] 
    public ActionResult MyMethod(MyModel model) 
    { 
     // my logic 
    } 

यह पूरी तरह से अच्छी तरह से काम करता है, समय की सबसे ...

हालांकि, अगर उपयोगकर्ता अपने ब्राउज़र खुला छोड़ देता है प्रपत्र +०१२३५१६४१० में लॉग-लोड करने के लिए

1. क्लिक्स हाइपरलिंक (जीईटी) पर: समय की एक "महत्वपूर्ण" अवधि के लिए और उसके बाद जल्दी जल्दी में निम्न चरणों प्रदर्शन
2. प्रपत्र पूर्ण करता है और प्रस्तुत

वे उन्हें सूचित किया कि विरोधी जालसाजी टोकन था या या तो प्रदान नहीं की अवैध था एक अपवाद मिलता है।

मुझे समझ में नहीं आता कि यह क्यों मामला है: ब्राउजर निष्क्रिय होने के बाद व्यू (फॉर्म युक्त) बनाया गया है और इसलिए विरोधी जालसाजी टोकन सभी को "ताजा" होना चाहिए। हालांकि, इस डिजाइन के साथ कुछ स्पष्ट रूप से गलत है, लेकिन मुझे यकीन नहीं है कि इसे कैसे सुधारना है।

यदि आपके पास कोई सुझाव है तो अग्रिम धन्यवाद।

Griff

Answer 1

मैं इस एक ही समस्या से निपटने रहा हूँ और जब मैं मुद्दे को समझने, मुझे यकीन है कि अभी तक सबसे अच्छा संकल्प के नहीं हूँ।

एंटी-फोर्जरी टोकन प्रक्रिया कुकी में Requester प्रमाणीकरण टोकन में संग्रहीत दूसरे मान के साथ फ़ॉर्म में इनपुट मान रखती है। इन दोनों को सर्वर पर सबमिट किया गया है और यदि वे मेल नहीं खाते हैं तो त्रुटि फेंक दी जाती है।

RequestVerficationToken कुकी के पास सत्र होने के लिए एक समाप्ति मान सेट है। तो जब उपयोगकर्ता लंबे समय तक पृष्ठ पर ब्राउज़र को खोलता है और फिर सबमिट करता है, तो कुकी के टाइम स्टैम्प की तुलना सर्वर पर सत्र टाइमआउट मान से की जाती है - 20 मिनट या उससे अधिक का डिफ़ॉल्ट - और इसे पार कर दिया जाता है, इसे हटा दिया जाता है और इस प्रकार टोकन सत्यापन विफल रहता है।

संभावित समाधान, जिनमें से सभी संभावित समस्याएं हैं;

1. पृष्ठ पर एक जावास्क्रिप्ट टाइमर रखें और कुछ सत्र कम पर अपने सत्र समय समाप्ति से रीफ्रेश करें।
2. सर्वर पर सिस्टम.Web.Mvc.HttpAntiForgeryException को पकड़ें - और उसी पृष्ठ पर को रीडायरेक्ट करें।
3. अपने सत्र टाइमआउट
4. बदलें टोकन