Day22 - Ajax 加上 Antiforgery Token (二)

Case01

与 Day21 重点差异的部份：

• Controller 内 Action：

  加上 ValidateAntiForgeryToken Attribute

  // ...
  
  [HttpPost, Route("api/[controller]/[action]")]
  [ValidateAntiForgeryToken]
  public IActionResult PostCase01([FromBody]ViewModel vm)
  {
      return Ok(vm);
  }
  
  // ...
  

• View ：

  • 新增 Partial View _Antiforgery.cshtml

    @inject Microsoft.AspNetCore.Antiforgery.IAntiforgery Xsrf
    @functions{
        private string GetAntiXsrfRequestToken()
        {
            return Xsrf.GetAndStoreTokens(Context).RequestToken;
        }
    }
    
    <script>
        window.Antiforgery = {};
        Antiforgery.RequestVerificationToken = '@(GetAntiXsrfRequestToken())';
    </script>
    

  • Case01

    View 加上引用上述的 Partial View

    ...
    
    @section Scripts
    {
        <partial name="_Antiforgery"/>
        <script>
        const app = createApp({
            setup(){
    
    ...
    

    fetch 加上 Header RequestVerificationToken

    // ...
        fetch(post_url, {
            method: 'POST',
            headers: {
                'Content-Type': 'application/json',
                'RequestVerificationToken' : Antiforgery.RequestVerificationToken
            },
            body: JSON.stringify(vue_model),
        })
    
    // ...
    

参考资料：Prevent Cross-Site Request Forgery (XSRF/CSRF) attacks in ASP.NET Core

下一篇来看看把 Day17 范例改用 轻前端 Vue !