ValidateAntiForgeryTokenendpoint属性在Asp中的使用情况。每个CSRF攻击的Net core Angular web应用程序

Question

我有一个使用asp的web应用程序。net核心（3.1）后端和角度前端（8.2.11）。它使用asp。net身份验证框架，用于用户身份验证。它将身份验证令牌存储在本地存储器中，用作请求中的身份验证头。sense controller中的所有功能都正常。只有用户登录时，才能访问endpoint。如果用户注销，则直接在浏览器中键入endpoint将被拒绝。

我仍然不确定这样的设置是否可以防止跨站点请求伪造（XSRF/CSRF）攻击。我知道使用cookie存储身份验证令牌容易受到CSRF的影响，我在某些endpoint上尝试了一点[ValidateAntiForgeryToken]属性，它当然破坏了这些endpoint。我知道在Razor页面中，表单会自动注入防伪令牌。那么，我需要在我的角度前端设置它吗？如果是，怎么做？（我在网上搜索了一下，说明到处都是，非常混乱，没有明确的共识）。

Answer 1

Angular提供默认启用的内置反CSRF/XSRF保护。

Angular的HttpClient对这项技术的客户端部分有内置支持。在HttpClient指南中了解更多

请注意，默认情况下，HttpClient上会启用CSRF/XSRF保护，但仅当后端在用户身份验证时将名为XSRF-TOKEN的cookie设置为随机值时，CSRF/XSRF保护才起作用。

Answer 2

将中间件添加到生成AntiforgeryToken的中间件管道中，并将该令牌嵌入连接到响应的非http专用cookie中：

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        ...
        services.AddAntiforgery(options => {
            options.HeaderName = "X-XSRF-TOKEN";
        });
    }
    
    public void Configure(IApplicationBuilder app, IWebHostEnvironment env, IAntiforgery antiforgery)
    {
        ...;
        app.Use((context, next) => {
            var tokens = antiforgery.GetAndStoreTokens(httpContext);
            httpContext.Response.Cookies.Append("XSRF-TOKEN", tokens.RequestToken, new CookieOptions() { Path = "/", HttpOnly = false });
        });
    }
}

我为此创建了一个包含此中间件的小包。

将您的角应用配置为通过javascript读取非超文本传输协议cookie（XSRF-TOKEN）的值，并将此值作为X-XSRF-TOKEN头传递给由HttpClient发送的请求：

@NgModule({
  declarations: [...],
  imports: [
    HttpClientModule,
    HttpClientXsrfModule.withOptions({
      cookieName: 'XSRF-TOKEN',
      headerName: 'X-XSRF-TOKEN'
    }),
    ...
  ],
  providers: [...],
  bootstrap: [AppComponent]
})
export class AppModule { }

现在，您可以使用[ValidateAntiforgeryToken]属性装饰控制器方法：

[ApiController]
[Route("web/v1/[controller]")]
public class PersonController : Controller
{
    private IPersonService personService;
    public PersonController(IPersonService personService)
    {
        this.personService = personService;
    }
    
    [HttpPost]
    [Authorize]
    [ValidateAntiForgeryToken]
    public async Task<ActionResult<Person>> Post([FromBody] Person person)
    {
        var new_person = await personService.InsertPerson(person);
        return Ok(new_person);
    }
}

请确保您发送的请求具有以下类型的url，如下所述：

• /my/url

错误的url:

• https://example.com/my/url

我使用身份Cookie身份验证：

services.AddAuthentication(/* No default authentication scheme here*/)

自从ASP。NET Core身份验证中间件只负责XSRF-TOKEN头，而不负责X-XSRF-TOKENcookie，您不再容易受到跨站点请求伪造的影响。

您会注意到，在登录/注销之后，发送的第一个webrequest仍将被XSRF保护阻止。这是因为标识在webrequest的生存期内不会更改。因此，当发送Loginwebrequest时，响应将附加一个带有csrf令牌的cookie。但此令牌仍然使用您尚未登录时的身份生成。

发送Logout网络请求也同样重要，响应将包含一个带有csrf令牌的cookie，就像您仍然登录一样。

要解决这个问题，您只需在每次登录/注销时发送另一个webrequest，它实际上什么都不做。在此请求过程中，您将再次拥有正确的身份，以便生成csrf令牌。

logoutClicked() {
  this.accountService.logout().then(() => {
    this.accountService.csrfRefresh().then(() => {
      this.activeUser = null;
    });
  }).catch((error) => {
    console.error('Could not logout', error);
  });
}

登录时相同

this.accountService.login(this.email, this.password).then((loginResult) => {
  this.accountService.csrfRefresh().then(() => {
    switch (loginResult.status) {
      case LoginStatus.success:
        this.router.navigateByUrl(this.returnUrl);
        this.loginComplete.next(loginResult.user);
        break;
      default:
        this.loginResult = loginResult;
        break;
    }
  });
});

csrfRefresh方法的内容

public csrfRefresh() {
  return this.httpClient.post(`${this.baseUrl}/web/Account/csrf-refresh`, {}).toPromise();
}

服务器端

[HttpPost("csrf-refresh")]
public async Task<ActionResult> RefreshCsrfToken()
{
    // Just an empty method that returns a new cookie with a new CSRF token.
    // Call this method when the user has signed in/out.
    await Task.Delay(5);

    return Ok();
}

这是我在自己的应用程序中登录用户的地方