asp.net-mvc - 为每个用户生成不同的 AntiForgeryToken 的方法是什么

Question

我将 MVC3 与 Razor View 引擎结合使用。

我需要为每个用户生成不同的 AntiForgeryToken。

我正在考虑生成一个唯一的盐值并在用户注册时将其存储在用户表中，并使用该盐生成 token ，但我如何才能将该盐值绕过属性 ValidateAntiForgeryToken。我想我需要定义一个自定义属性，但我不知道该怎么做(通过访问用户信息以使用盐值)。

提前致谢。

Answer 1

如果您想要不同的 salt，那么您需要从现有代码中推出自己的 salt 或想出一个新方案。

但是请记住，这些 token 已经是特定于用户的。以用户 A 身份登录的人无法使用用户 B session 中的 token 。

另请注意，它们不是一次性使用 token ，那么您在这里要防止什么？让用户 A 不能为用户 b 生成一个？再次 - 请记住，用户 a 未以用户 b 的身份登录，因此如果这是伪造的，则当前完成的检查将失败。