Jak domyślnie chronić przed CSRF w ASP.NET MVC 4?

aby dodać do doskonałej odpowiedzi osoviejo, instrukcje poniżej, z mojego ostatniego blog post na CSRF , umieścić swoją pracę wraz z informacjami na blogu Phila w jednej kompleksowej odpowiedzi.

ASP.NET/MVC zapewnia mechanizm tego: możesz dodać do kolekcji filtrów w globalnym obiekcie FilterProviders. Pozwala to na kierowanie na niektóre kontrolery, a nie na inne, dodając wymaganą funkcję zabezpieczeń.

Najpierw musimy zaimplementować IFilterProvider. Poniżej, możesz znaleźć klasę Phila Haacka Conditional Filter Provider . Zacznij od dodania tej klasy do swojego projektu.

public class ConditionalFilterProvider : IFilterProvider
{
    private readonly
      IEnumerable<Func<ControllerContext, ActionDescriptor, object>> _conditions;

    public ConditionalFilterProvider(
      IEnumerable<Func<ControllerContext, ActionDescriptor, object>> conditions)
    {
        _conditions = conditions;
    }

    public IEnumerable<Filter> GetFilters(
        ControllerContext controllerContext,
        ActionDescriptor actionDescriptor)
    {
        return from condition in _conditions
               select condition(controllerContext, actionDescriptor) into filter
               where filter != null
               select new Filter(filter, FilterScope.Global, null);
    }
}

Następnie dodaj kod do Application_Start, który dodaje nową ConditionalFilterProvider do kolekcji global FilterProviders, która zapewnia, że wszystkie metody kontrolera POST będą wymagały AntiForgeryToken.

IEnumerable<Func<ControllerContext, ActionDescriptor, object>> conditions = 
    new Func<ControllerContext, ActionDescriptor, object>[] {
    // Ensure all POST actions are automatically 
    // decorated with the ValidateAntiForgeryTokenAttribute.

    ( c, a ) => string.Equals( c.HttpContext.Request.HttpMethod, "POST",
    StringComparison.OrdinalIgnoreCase ) ?
    new ValidateAntiForgeryTokenAttribute() : null
};

var provider = new ConditionalFilterProvider(conditions);

// This line adds the filter we created above
FilterProviders.Providers.Add(provider);

Jeśli zaimplementujesz dwa fragmenty kodu powyżej, Twoja aplikacja MVC powinna wymagać AntiForgeryToken dla każdego posta na stronie. Możesz wypróbować na Przykładowa strona internetowa Phila Haacka CSRF - po zabezpieczeniu atak CSRF rzuci System.Web.Mvc.HttpAntiForgeryException bez konieczności dodawania adnotacji [ValidateAntiForgeryToken]. To wyklucza cały szereg luk związanych z "zapominalskim programistą".