c# - MVC.net 表单发布/防伪

Question

定义 ValidateAntiForgeryToken 属性时。盐的复杂度应该是多少？

例如，超过 X 个字符的字母数字字符是否合适？是否也应该有符号。

[ValidateAntiForgeryToken(Salt = "How complex is good")]
public virtual ActionResult SaveDetail(UserDetails details)
{
.
.
.
}

Answer 1

我认为这是盐长度而不是字符类型的问题。简而言之，加盐时间越长，AntiForgeryToken 就越难破解。 md5-crypt 和 bcrypt 等现代方法分别使用 48 位和 128 位的盐。也许您想效仿他们。

如果您真的很担心，请为每个 View 添加不同的盐。这将为您的站点提供额外的安全性，因为黑客将无法在不同 View 之间重复使用受损 token 。希望这是有道理的。

桑德森在 this post 中谈到了这一点.