c# - 如何在 ASP.NET Core 的 HTTP GET 请求中使用 ValidateAntiForgeryToken？

Question

通常您将 ValidateAntiForgeryToken 与 HttpPost 一起使用，如下所示:

[HttpPost]
[ValidateAntiForgeryToken]
public IActionResult ...

我想在不使用 HttpPost 的情况下使用 ValidateAntiForgeryToken，以便我可以将 token 作为 URL 参数传递。我怎样才能做到这一点？如果没有 HttpPost，它会工作吗？如果是，参数的名称是什么？

Answer 1

有了 ASP.NET Core 3.1，事情似乎变得容易多了。

您所要做的就是在 AJAX 调用中传递一个 "RequestVerificationToken" header :

let token = $('input[name="__RequestVerificationToken"]').val();
let headers = { "RequestVerificationToken": token };
$.ajax({ ..., type: 'GET', headers: headers, ... });

对于 POST 调用， token 可以作为 "__RequestVerificationToken" 字段通过主体(或 FormData)中的对象传递:

let postData["__RequestVerificationToken"] = token;
$.ajax({ ..., type: 'POST', data: postData, ... });

Controller 中的方法可以定义如下:

[ValidateAntiForgeryToken]
public IActionResult GetNotifications()
{
    var notifications = _notificationService.GetNotifications();
    return Json(notifications);
}

确保 AntiforgeryOptions.HeaderName 和 AntiforgeryOptions.FormFieldName 没有被修改，否则用相应的值更改上面的名称。