AntiForgeryToken 登录后无效

我有一个用户可以在不登录的情况下发布的表格。但是，如果他的电子邮件被识别，则需要密码。密码表单通过 Ajax 进行验证，如果成功，则提交主表单。两种形式都需要有效的 AntiForgeryToken。

问题是，密码检查作为副产品还会使用户登录（客户端的要求）。这会验证令牌，并且无法发送主表单。

我尝试过以编程方式生成新令牌，但无法使其工作。

关于如何解决这个问题有什么想法吗？

最终解决方案

I found this https://stackoverflow.com/questions/1347728/using-an-mvc-htmlhelper-from-a-webform问题有助于形成反思。然而，这就是在正常情况下避免破解内部类型的主要原因，因为这些类型在版本之间的程序集之间进行了很多处理。正如 Betty 建议的那样，使用 ILSpy 来查找内容。

这是最终的代码。

if (signIn)
    FormsAuth.SignIn(user.Email, false);


var mvcAssembly = typeof(AntiForgery).Assembly;
var afdType = mvcAssembly.GetType("System.Web.Helpers.AntiForgeryData");
string fieldName = Convert.ToString(afdType.InvokeMember(
    "GetAntiForgeryTokenName",
    BindingFlags.NonPublic | BindingFlags.Static | BindingFlags.InvokeMethod,
    null,
    null,
    new object[] { null }));

var serializerType = mvcAssembly.GetType("System.Web.Helpers.AntiForgeryDataSerializer");
var serializerCtor = serializerType.GetConstructor(new Type[0]);
object serializer = serializerCtor.Invoke(new object[0]);


string text = HttpContext.Request.Form[fieldName];
object antiForgeryData = serializerType.InvokeMember("Deserialize", BindingFlags.InvokeMethod, null, serializer, new object[] { text });

afdType.GetProperty("Username").SetValue(antiForgeryData, 
    signIn ? user.Email : string.Empty, 
    null);

string newToken = Convert.ToString(serializerType.InvokeMember(
    "Serialize",
    BindingFlags.InvokeMethod,
    null,
    serializer,
    new object[] { antiForgeryData }));

return Content(JsonConvert.SerializeObject(new
                                                {
                                                    success = true,
                                                    newAntiForgeryToken = newToken
                                                }), Constant.JsonContentType);

升级网页2.0

  var mvcAssembly = typeof(AntiForgery).Assembly;
        var afdType = mvcAssembly.GetType("System.Web.Helpers.AntiXsrf.AntiForgeryToken");
        //string fieldName = Convert.ToString(afdType.InvokeMember(
        //    "GetAntiForgeryTokenName",
        //    BindingFlags.NonPublic | BindingFlags.Static | BindingFlags.InvokeMethod,
        //    null,
        //    null,
        //    new object[] { null }));

        string fieldName = "__RequestVerificationToken";

        var serializerType = mvcAssembly.GetType("System.Web.Helpers.AntiXsrf.AntiForgeryTokenSerializer");
        var serializerCtor = serializerType.GetConstructor(new Type[0]);
        object serializer = serializerCtor.Invoke(new object[0]);


        string text = HttpContext.Request.Form[fieldName];
        string newToken = String.Empty;

        if (!String.IsNullOrEmpty(text))
        {
            object antiForgeryToken = serializerType.InvokeMember("Deserialize", BindingFlags.InvokeMethod, null,
                                                                 serializer, new object[] { text });

            afdType.GetProperty("Username").SetValue(antiForgeryToken,
                                                     signIn ? user.Email : string.Empty,
                                                     null);

            newToken = Convert.ToString(serializerType.InvokeMember(
                "Serialize",
                BindingFlags.InvokeMethod,
                null,
                serializer,
                new[] { antiForgeryToken }));
        }

当前用户存储在表单数据的防伪令牌中，并在回发时与当前用户进行比较。

您应该能够在回发时提取表单令牌，就像 Phil Haack 在这个帖子 http://haacked.com/archive/2011/10/10/preventing-csrf-with-ajax.aspx.

然后使用 AntiForgeryDataSerializer 类反序列化令牌，更新当前用户，再次序列化并在检查之前将其放回表单中。或者完全使用您自己的属性替换 validate 方法。

或者，您可以尝试使用密码 ajax 请求发送更新后的令牌并更新表单，而不是在主表单回发上更新它。无论哪种方式，基本方法都是相同的，反序列化，更新用户，序列化，替换令牌。

string antiForgeryTokenName = AntiForgeryData.GetAntiForgeryTokenName(null);
string text = context.Request.Form[antiForgeryTokenName];
AntiForgeryDataSerializer serializer = new AntiForgeryDataSerializer();

AntiForgeryData antiForgeryData = serializer.Deserialize(text); 
antiForgeryData.Username = AntiForgeryData.GetUsername(context.User);
string newToken = serializer.Serialize(antiForgeryData);    

AntiForgeryDataSerializer 和 AntiForgeryData 是内部类，因此您必须使用一些基本的反射来调用它们的方法。