AntiForgeryToken không có xác thực biểu mẫu

Question

Chúng tôi có trang web sử dụng MVC3 và phương thức xác thực tùy chỉnh không dựa vào xác thực biểu mẫu - ít nhất là từ những gì tôi có thể biết. Trong web.config, chúng tôi đặt

<authentication mode="None"></authentication> 

và chúng tôi không bao giờ sử dụng/đặt HttpContext.User ở bất kỳ đâu trong mã. Vấn đề là khi sử dụng @ Html.AntiForgeryToken() trong một số trường hợp người dùng được thông báo lỗi này:

A required anti-forgery token was not supplied or was invalid 

Chúng tôi tập trung tất cả kiểm tra chống giả mạo trong OnAuthorization với mã này:

if (String.Compare(filterContext.HttpContext.Request.HttpMethod, "post", true) == 0) 
{ 
    var forgery = new ValidateAntiForgeryTokenAttribute(); 
    forgery.OnAuthorization(filterContext); 
} 

Đó là nơi ngoại lệ xảy ra. Chúng tôi có defined a machineKey in web.config để ngăn các khóa mới được tạo khi nhóm ứng dụng tái chế. Điều này không khắc phục được vấn đề.

Tiếp theo, chúng tôi nghĩ rằng có thể trình duyệt của khách hàng không gửi cookie. Chúng tôi đã bắt đầu ghi nhật ký cookie và nhận thấy rằng trong một số trường hợp, cookie RequestVerificationToken_Lw được gửi, nhưng trong một số trường hợp khác không phải là - mặc dù các cookie khác, như cookie được Google Analytics tạo, được gửi cùng tốt. Nó có thể là một cái gì đó trong trình duyệt là tước một số cookie và để lại những người khác trong?

Có vẻ như là anti-forgery token depends on forms authentication. Đây có phải là trường hợp không? Bất kỳ cách nào để tiếp tục sử dụng AntiForgeryToken khi không sử dụng xác thực biểu mẫu một cách đáng tin cậy. Hãy nhớ rằng phương pháp tôi mô tả ở trên hoạt động trong hơn 90% trường hợp, nhưng chúng tôi không thể xác định lý do tại sao phương thức này không hoạt động đối với một số người.

Suy nghĩ?
Cảm ơn!

Answer 1

Một số người dùng có gặp phải sự cố này không? Hay chỉ một ít thời gian? Ngoài ra, nó có hoạt động đối với một số phương pháp TẤT CẢ thời gian hoặc không phù hợp với phương pháp hành động giống nhau không? Bạn có bất kỳ cuộc gọi ajax nào không? Việc thực thi mã thông báo chống giả mạo mặc định không xử lý các cuộc gọi AJAX. Nhưng bạn có thể viết một số mã tùy chỉnh để làm cho mã hoạt động

Answer 2

Bạn có thêm mã thông báo chống giả mạo bên trong biểu mẫu không? Mã thông báo antiforgery được lưu trữ trên máy khách thông qua một phần tử HTML ẩn và không phải là một cookie. Câu hỏi khác sẽ là phiên bản trình duyệt mà họ đang sử dụng? Có thể nâng cấp lên phiên bản mới nhất không?

@using (Html.BeginForm()) 
    { 
     @Html.AntiForgeryToken()...