c# - ASP.NET MVC 4 Beta 编辑器模板对 CSRF 安全吗？

Question

由 ASP.NET MVC 4 Beta 模板生成的页面是否可以防止跨站点请求伪造？

具体来说，“使用 EntityFramework 的具有读/写操作和 View 的 Controller ”生成的“编辑” View 和 Controller 操作是否受到 CSRF 保护？

检查编辑表单生成的 HTML 代码，我看不到隐藏字段或其他实现防伪标记的方法。

我是不是遗漏了什么或者默认示例不安全？

Answer 1

您需要明确实现防伪 token 。

在 View 中:

@using (Html.BeginForm(...
{
    @Html.AntiForgeryToken()
    ...
}

在 Controller 中

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult MyAction(MyViewModel model)
{
    ...

您始终可以创建自定义 T4 模板来为您生成此模板，但默认情况下，开箱即用的模板不会执行此操作。