asp.net - 如何为 ValidateAntiForgeryToken 选择盐值

Question

防伪 token 接受盐值。选择盐是否存在任何安全问题，例如

• 最小长度要求
• 加密强度高
• 字母数字和其他字符的混合(例如密码)

此外，客户端可以查看盐值吗？查看源代码，它似乎将盐值添加到 cookie 中。

Answer 1

反 XSRF token 已包含嵌入信息，可以将其唯一地标识为特定(用户、应用程序)对。 “Salt”参数旨在区分特定反 XSRF token 的用途。这并不意味着要保密。请随意与世界分享。我希望我们为它选择一个不同的名称，因为盐这个词具有误导性。更多地将其视为补充数据。 :)

我们已经在幕后使用了适当的加密盐。欲了解更多信息，请参阅我的回复 runtime loading of ValidateAntiForgeryToken Salt value .

tl;dr: 不要为 Salt 属性而烦恼。无论如何，我们正在考虑从 future 版本中删除它。