Zmiany klucza AntiForgeryToken na żądanie

Question

Używam metody pomocnika AntiForgeryToken. Z tego, co rozumiem na temat AntiForgeryToken, wynika, że ​​jest to baza sesji, więc każdy użytkownik ma ten sam token, ale inny użytkownik będzie miał inny token (pod warunkiem, że użyjesz tych samych soli dla wszystkich formularzy). Mój "problem" polega na tym, że AntiForgeryToken generuje różne tokeny dla tego samego użytkownika z tą samą solą. Na przykład ...

Contoller

public ActionResult Test() 
{ 
    return View(); 
} 

View

@using (Html.BeginForm()) 
{ 
    @Html.AntiForgeryToken("Salty!") 
} 

Zapytanie Wyjście # 1

<input name="__RequestVerificationToken" type="hidden" value="K1sijFuYvyGUJjGg33OnLjJaU3tFpGFDutRt9TOFSkZ6FcrhJMMQPnOqjIHuTwBXs/sPBXEiE+1qyV9l63nnSO161b+OtLbaBoPC7K3/7wxtnuSY+N0o/fqBgVoDyac4dNVp+OvanKBSrHINKfc3WEg9269BHOJNzFowC6Aeac/afAGTGrBypxUHfqrKVowD" /> 

Wyjście Zapytanie # 2

<input name="__RequestVerificationToken" type="hidden" value="mOpP6LMQXnCmjr5/Wdtnhguh3PyZxWj7GWf8LYzZXPKcJBBT+DbAHvynquSD65O0DBw1RKR7DxCNg372ukftCOWms+o75CraMyFMnvjGk7RU+znIQm05eRQvr5H6d/MDyn+0DWm3jLnMBM9GplsgMRqbdAHzSe69/cS2x9A4X/9jFTZQHUWXXHUr0xewF8Rk" /> 

Klawisze są różne dla tej samej sesji z tej samej soli. Czy mam fundamentalne niezrozumienie ochrony CRSF? A może to nowa funkcja?

Answer 1

Token anty XSRF działa poprzez zaszyfrowanie tej samej wartości losowej w pliku cookie sesji i na formularzu. Pliki cookie sesji są przesyłane tylko wtedy, gdy publikujesz post z wygenerowanego formularza.

To podejście działa również np. na farmach serwerów (w scenariuszu równoważenia obciążenia), w którym wszystkie serwery współużytkują klucz szyfrowania. Sprawdzanie poprawności działa tylko poprzez porównanie odszyfrowanej wartości z przesłanych danych formularzy i odszyfrowanej wartości z wysłanego pliku cookie sesji. Nazywa się to metodą double submitted cookie.

To normalne, że każda prośba otrzymuje inną wartość. This is a nice post o tokenach ASP.NET MVC XSRF.