Włącz zabezpieczającym token z ASP.NET Core i JQuery

Question

używam JQuery z ASP.NET Rdzenia 1.0.1 i mam połączenie Ajax:

$("#send-message").on("submit", function (event) { 
    event.preventDefault(); 
    var $form = $(this); 
    $.ajax({ 
    url: "api/messages", 
    data: JSON.stringify($form.serializeToJSON()), 
    dataType: "json", 
    headers: { 
     Accept: "application/json", 
     "Content-Type": "application/json" 
    }, 
    type: "post" 
    }) 
    .done(function (data, status, xhr) { }) 
    .fail(function (xhr, status, error) { }); 

działaniu ASP.NET Rdzeń:

[HttpPost("messages")] 
public async Task<IActionResult> Post([FromBody]MessagePostApiModelModel model) { 
    // Send message 
} 

formularz jest w udostępnionym widzenia i jest on następujący:

<form id="send-question" method="post"> 
    <textarea name="content"></textarea> 
    <button class="button" type="submit">Enviar</button> 
</form> 

Kiedy przesłać formularz pojawia się błąd:

Microsoft.AspNetCore.Antiforgery.AntiforgeryValidationException: The required antiforgery header value "RequestVerificationToken" is not present. 

Jak mogę włączyć AntiForgeryToken programu ASP.NET Core za pomocą wywołań JQuery Ajax?

UPDATE

muszę dodać następujący Asp-Asp-kontrolera i działania do postaci:

<form asp-controller="QuestionApi" asp-action="Post" id="send-question" method="post"> 
</form> 

To wygeneruje token zabezpieczającym. I musiałem ręcznie dodać token nagłówkach wywołania JQuery następująco:

headers: { 
    "Accept": "application/json", 
    "Content-Type": "application/json", 
    "RequestVerificationToken": $form.find("input[name='af_token']").val() 
    }, 

Czy istnieje lepszy sposób to zrobić?

Jak rozwiązać ten problem, gdy nie ma formularza i mam tylko znacznik A, który po kliknięciu wywołuje połączenie Ajax? Czy mogę wygenerować wspólny token antiforgery na mojej stronie głowy, który będzie używany przez wszystkie wywołania ajax z tej strony?

Answer 1

mode777 za potrzebuje tylko niewielki dodatek do tej pracy (próbowałem go) :

$(document).ajaxSend(function(e, xhr, options) { 
    if (options.type.toUpperCase() == "POST") { 
     var token = $form.find("input[name='af_token']").val(); 
     xhr.setRequestHeader("RequestVerificationToken", token); 
    } 
}); 

Właściwie, jeśli również złożyć za pomocą Ajax, nie trzeba korzystać z formularza w ogóle. umieścić to w swoim _layout:

<span class="AntiForge"> @Html.AntiForgeryToken() </span> 

wtedy Pickup token dodając to do javascript:

$(document) 
    .ajaxSend(function (event, jqxhr, settings) { 
     if (settings.type.toUpperCase() != "POST") return; 
     jqxhr.setRequestHeader('RequestVerificationToken', $(".AntiForge" + " input").val()) 
}) 

@HtmlAntiForgeryToken generuje pole wejściowe ukryte z tokenem zabezpieczającym, to samo jak przy korzystaniu z formularza. Powyższy kod znajduje go za pomocą selektora klasy w celu wybrania zakresu, a następnie pobiera w nim pole wejściowe, aby pobrać token i dodać go jako nagłówek.

Answer 2

można zarejestrować zdarzenia globalnego ajax że doda nagłówek do wszystkich połączeń ajax, które nie dostać się w ten sposób: Odpowiedź

$(document).ajaxSend(function(e, xhr, options) { 
    if (options.type.toUpperCase() != "GET") { 
     xhr.setRequestHeader("RequestVerificationToken", token); 
    } 
}); 

Answer 3

Uwaga: Ta odpowiedź dotyczy programu ASP.NET Core 2.0. Może nie pasować do starszych wersji.

Oto co zrobiłem po wykopaniu przez kodzie źródłowym aspnet za krótką chwilę:

public static class HttpContextExtensions 
{ 
    public static string GetAntiforgeryToken(this HttpContext httpContext) 
    { 
     var antiforgery = (IAntiforgery)httpContext.RequestServices.GetService(typeof(IAntiforgery)); 
     var tokenSet = antiforgery.GetAndStoreTokens(httpContext); 
     string fieldName = tokenSet.FormFieldName; 
     string requestToken = tokenSet.RequestToken; 
     return requestToken; 
    } 
} 

można go używać w widoku jak ten:

<script> 
    var data = { 
     yourData: "bla", 
     "__RequestVerificationToken": "@Context.GetAntiforgeryToken()" 
    }; 
    $.post("@Url.Action("ActionName")", data); 
</script> 

może zmodyfikować metoda rozszerzenia zwracająca nazwę pola w dowolnej formie, np. sol. fragment JSON.