19

我正在向混合 WebForms/MVC 站点添加一些 UI 功能。在这种情况下，我将一些 AJAX UI 功能添加到 WebForms 页面（通过 jQuery），并且数据来自 MVC JsonResult。一切都在 100% 工作，只有一个例外：

我想实现 AntiForgeryToken 的 XSRF 保护。我在纯 MVC 应用程序上将它与 ValidateAntiForgeryToken 属性结合使用，但想知道如何在 WebForms 中实现 Html.AntiForgeryToken() 方法。 这是一个使用 UrlHelper 的示例。

我在正确“模拟” ViewContext / RequestContext 时遇到了一些麻烦。我应该如何在 WebForms 页面中使用 HtmlHelpers？

编辑：我希望从我的 WebForms 页面中检索 AntiForgeryToken，而不是从 MVC JsonResult。

4

4 回答 4

21

我知道这是一个老问题，但我今天遇到了这个问题，并认为我会分享。我在 MVC4 中工作，并且有一个在 MVC（通过 RenderPartial）和 WebForms 之间共享的 webform 控件（.ascx）。在那个控制中，我需要一个防伪令牌。幸运的是，现在您可以在 Web 表单中使用一个助手，就像这样简单：

<%= AntiForgery.GetHtml() %>

这将呈现您的防伪令牌，就像您在 MVC 中获得的一样。

这是它的 MS 链接。

于 2013-05-01T18:41:05.157 回答
6

关键方法在MVC源码中：GetAntiForgeryTokenAndSetCookie

这将创建一个名为 的内部密封类的实例AntiForgeryData。

该实例被序列化为 cookie "__RequestVerificationToken_" + 应用程序路径的 base 64 编码版本。

的相同实例AntiForgeryData被序列化为隐藏输入。

独特的部分AntiForgeryData是RNGCryptoServiceProvider.GetBytes()

所有这些都可以在 WebForms 页面中被欺骗，唯一混乱的地方是隐藏的密封类的序列化。不幸的是，关键方法 ( GetAntiForgeryTokenAndSetCookie) 依赖于ViewContext.HttpContext.Request获取 cookie，而 WebForm 需要使用HttpContext.Current.Request。

更新

没有太多的测试和大量的代码，但我想我已经通过一点反思来解决这个问题。在我使用反射的地方，我留下了上面注释掉的等效行：

using System;
using System.Reflection;
using System.Web;
using System.Web.Mvc;

/// <summary>Utility to provide MVC anti forgery tokens in WebForms pages</summary>
public class WebFormAntiForgery
{
    /// <summary>Create an anti forgery token in a WebForms page</summary>
    /// <returns>The HTML input and sets the cookie</returns>
    public static string AntiForgeryToken()
    {
        string formValue = GetAntiForgeryTokenAndSetCookie();

        // string fieldName = AntiForgeryData.GetAntiForgeryTokenName(null);
        var mvcAssembly = typeof(HtmlHelper).Assembly;
        var afdType = mvcAssembly.GetType("System.Web.Mvc.AntiForgeryData");
        string fieldName = Convert.ToString(afdType.InvokeMember(
            "GetAntiForgeryTokenName",
            BindingFlags.NonPublic | BindingFlags.Static | BindingFlags.InvokeMethod,
            null,
            null,
            new object[] { null }));

        TagBuilder builder = new TagBuilder("input");
        builder.Attributes["type"] = "hidden";
        builder.Attributes["name"] = fieldName;
        builder.Attributes["value"] = formValue;
        return builder.ToString(TagRenderMode.SelfClosing);
    }

    static string GetAntiForgeryTokenAndSetCookie()
    {
        var mvcAssembly = typeof(HtmlHelper).Assembly;
        var afdType = mvcAssembly.GetType("System.Web.Mvc.AntiForgeryData");

        // new AntiForgeryDataSerializer();
        var serializerType = mvcAssembly.GetType("System.Web.Mvc.AntiForgeryDataSerializer");
        var serializerCtor = serializerType.GetConstructor(new Type[0]);
        object serializer = serializerCtor.Invoke(new object[0]); 

        // string cookieName = AntiForgeryData.GetAntiForgeryTokenName(HttpContext.Current.Request.ApplicationPath);
        string cookieName = Convert.ToString(afdType.InvokeMember(
            "GetAntiForgeryTokenName",
            BindingFlags.NonPublic | BindingFlags.Static | BindingFlags.InvokeMethod,
            null,
            null,
            new object[] { HttpContext.Current.Request.ApplicationPath }));

        // AntiForgeryData cookieToken;
        object cookieToken;
        HttpCookie cookie = HttpContext.Current.Request.Cookies[cookieName];
        if (cookie != null)
        {
            // cookieToken = Serializer.Deserialize(cookie.Value);
            cookieToken = serializerType.InvokeMember("Deserialize", BindingFlags.InvokeMethod, null, serializer, new object[] { cookie.Value });
        }
        else
        {
            // cookieToken = AntiForgeryData.NewToken();
            cookieToken = afdType.InvokeMember(
                "NewToken",
                BindingFlags.Public | BindingFlags.Static | BindingFlags.InvokeMethod,
                null,
                null,
                new object[0]);

            // string cookieValue = Serializer.Serialize(cookieToken);
            string cookieValue = Convert.ToString(serializerType.InvokeMember("Serialize", BindingFlags.InvokeMethod, null, serializer, new object[] { cookieToken }));

            var newCookie = new HttpCookie(cookieName, cookieValue) { HttpOnly = true };

            HttpContext.Current.Response.Cookies.Set(newCookie);
        }

        // AntiForgeryData formToken = new AntiForgeryData(cookieToken)
        // {
        //     CreationDate = DateTime.Now,
        //     Salt = salt
        // };
        var ctor = afdType.GetConstructor(new Type[] { afdType });
        object formToken = ctor.Invoke(new object[] { cookieToken });

        afdType.InvokeMember("CreationDate", BindingFlags.SetProperty, null, formToken, new object[] { DateTime.Now });
        afdType.InvokeMember("Salt", BindingFlags.SetProperty, null, formToken, new object[] { null });

        // string formValue = Serializer.Serialize(formToken);
        string formValue = Convert.ToString(serializerType.InvokeMember("Serialize", BindingFlags.InvokeMethod, null, serializer, new object[] { formToken }));
        return formValue;
    }
}

用法与 MVC 类似：

WebFormAntiForgery.AntiForgeryToken()

它创建与 MVC 方法相同的 cookie 和 HTML。

我没有打扰盐和域方法，但它们很容易添加。

于 2010-03-31T14:06:14.443 回答
1

默认情况下，ASP.NET WebForms 已经包含验证事件和视图状态的措施。Phil Haack在链接的帖子中谈到了一点。此处（Scott Hanselman）和此处（Dino Esposito）讨论了 XSRF 缓解策略

于 2009-09-04T17:08:43.317 回答
0

您可以在控制器中创建一个新的 HtmlHelper，然后从那里拉出反 xrsf：

var htmlHelper = new HtmlHelper(
    new ViewContext(
        ControllerContext, 
        new WebFormView("omg"), 
        new ViewDataDictionary(), 
        new TempDataDictionary()), 
        new ViewPage());

var xsrf = htmlHeler.AntiForgeryToken;

myObject.XsrfToken = xsrf;

return JsonResult(myObject);
于 2009-08-28T16:29:22.980 回答