c# - AntiForgery.GetTokens : what is the purpose of the oldCookieToken parameter?

Question

我们正在使用 objective-c 编写一个 iOS 移动应用程序，用于向我们的 ASP.NET MVC 服务器应用程序发布帖子。在 iPhone 上，HTTP 堆栈(和 cookie 等)似乎与 Safari 共享。这使我们容易受到 XSRF 攻击，因此除非我弄错了，否则我们需要使用防伪 token 保护 POST 并使用 ValidateAntiForgeryTokenAttribute 保护我们的 Controller 方法。

我会通过说我没有正确理解生成和验证防伪 token 的机制来限定这个问题......特别是，在这种情况下使用的术语“nonce”有点神秘。

因为我们不向客户端提供 HTML，所以我们不能使用标准的 @Html.AntiForgeryToken()，因此我们必须使用 AntiForgery.GetTokens获取代币并将其分发给我们的客户。这有一个神秘的第一个参数:oldCookieToken。目前，我只是将它设置为 null，一切似乎都正常。那么谁能告诉我...将旧 token 提供给 token 生成算法有什么用？如果只向我们的 iOS 应用程序颁发一个 token 并重复用于多个帖子，这会不会有问题？

Answer 1

AntiForgery.GetTokens 将尝试重新使用旧的 cookie token 进行验证。因此，如果您已经有一个要重复使用的验证 token ，它将尝试使用它而不是生成一个新的。如果旧 token 无效，它将生成一个新 token 并使用它代替。

因此将 null 传递给 oldCookieToken 是有效的。它只是告诉 GetTokens 始终生成一个新的 cookie token 。