API cookie问题-尝试在angular中创建XSRF/CSRF令牌

Question

用于初始化会话的Web API方法正在成功返回cookie。前端是angular的，所以我调用cookie XSRF-TOKEN，因为angular说它将接受该值，并在所有后续请求中将其转换为名为X-XSRF-TOKEN的头。

作为参考，创建cookie的WebAPI获取控制器方法如下

        ...
        HttpResponseMessage resp = new HttpResponseMessage() {
            Content = new JsonContent(results)
        };
        if (results.Token != null) {
            var cookie = new CookieHeaderValue("XSRF-TOKEN", results.Token);
            cookie.Expires = DateTimeOffset.Now.AddDays(365);
            cookie.Domain = Request.RequestUri.Host;
            cookie.Path = "/";
            cookie.HttpOnly = false;
            resp.Headers.AddCookies(new CookieHeaderValue[] { cookie });
        }
        return resp;
        ...

使用Fiddler，我可以在响应中看到cookie。现在我期待两件事

1. 对同一域的所有后续API调用应在请求头中包含此cookie
2. Angular应该是添加了我前面提到的X-XSRF-TOKEN报头

两者都没有发生（我正在和提琴手核实）。我尝试过在同一个域（如localhost）和不同的域中使用网站和应用编程接口。

我查过的一些来源：

https://docs.angularjs.org/api/ng/service/超文本传输协议
• https://stormpath.com/blog/angular-xsrf

我还尝试添加

$httpProvider.xsrfWhitelistedOrigins = [webServicesPath];

其中webServicesPath是我用于API路径的变量，但没有区别。

Answer 1

您应该使用如下内容

public void Configure(IApplicationBuilder app, IAntiforgery antiforgery) {

    context.Response.Cookies.Append("XSRF-TOKEN", tokens.RequestToken, new CookieOptions() { HttpOnly = false });

}

public void ConfigureServices(IServiceCollection services) {

    // Angular's default header name for sending the XSRF token.
    services.AddAntiforgery(options => options.HeaderName = "X-XSRF-TOKEN");    
}