Comment ValidateAntiForgeryToken empêche-t-il les attaques CSRF dans ASP.NET MVC ?

ValidateAntiForgeryToken : son objectif et sa mise en œuvre

Les formulaires dans les applications Web MVC sont souvent la cible d'attaques de falsification de requêtes intersites (CSRF). Les attaques CSRF se produisent lorsque des sites Web malveillants envoient des requêtes à des sites Web de confiance et incitent les navigateurs des utilisateurs autorisés à soumettre ces demandes, permettant ainsi aux attaquants d'effectuer des actions non autorisées.

Pour remédier à cette vulnérabilité, le framework .NET MVC propose le ValidateAntiForgeryToken. attribut, qui joue un rôle essentiel dans la prévention des attaques CSRF. Cet attribut garantit que les formulaires soumis à une méthode d'action spécifique proviennent réellement du serveur et non d'une source externe.

Comment fonctionne ValidateAntiForgeryToken

Lorsqu'une méthode d'action est décoré avec ValidateAntiForgeryToken, le framework MVC génère un jeton unique et unique et l'intègre dans le champ caché du formulaire HTML à l'aide du Méthode d'assistance @Html.AntiForgeryToken(). Ce jeton est unique pour l'utilisateur, la session et le navigateur.

Lorsque l'utilisateur soumet le formulaire, le framework compare le jeton dans le champ masqué avec le jeton qu'il a généré précédemment. Si les jetons correspondent, cela valide la soumission du formulaire. Sinon, il génère une erreur et rejette la soumission, atténuant ainsi l'attaque CSRF.

Exemple d'utilisation

Pour implémenter l'attribut ValidateAntiForgeryToken dans MVC 4, suivez ces étapes :

1. Décorez la méthode d'action que vous souhaitez protéger avec le Attribut [ValidateAntiForgeryToken] :

   [HttpPost]
   [ValidateAntiForgeryToken]
   public ActionResult Create(MyModel model)
   {
    // Code to handle the form submission
   }

2. Ajouter un appel à @Html.AntiForgeryToken() dans la balise form du formulaire :

   <form action="@Url.Action("Create", "MyController")" method="post">
    @Html.AntiForgeryToken()
    <!-- Other form controls -->
   </form>

Remarque : La méthode d'assistance @Html.AntiForgeryToken() doit être placé dans la balise form du formulaire, mais avant tous les autres contrôles de formulaire.

En suivant ces étapes, vous pouvez protéger efficacement votre application Web MVC contre les attaques CSRF et garantir l'intégrité de vos soumissions de formulaire.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!