Question

我使用IdentityServer 3进行身份验证。当用户通过身份验证后，IdentityServer会进行“POST＆＃39;请求客户的申请网址。例如http://localhost/home到目前为止一切都很好。

我的客户端应用程序是在ASP.NET Core中开发的。在客户端应用程序中，我想验证每个POST请求。因此，我没有在每个操作方法上添加ValidateAntiForgeryToken属性，而是创建了一个验证每个POST请求的中间件。

public class ValidateAntiForgeryTokenMiddleware
{
    private readonly RequestDelegate _next;
    private readonly IAntiforgery _antiforgery;

    public ValidateAntiForgeryTokenMiddleware(RequestDelegate next, IAntiforgery antiforgery)
    {
        _next = next;
        _antiforgery = antiforgery;
    }

    public async Task Invoke(HttpContext httpContext)
    {
        if (httpContext.Request.Method.ToUpper() == "POST")
        {
            await _antiforgery.ValidateRequestAsync(httpContext);
        }

        await _next(httpContext);
    }
}

这里的问题是因为identityserver也在进行POST，中间件会尝试验证该请求，但POST请求失败并出现以下错误

＆＃34;所需的防伪饼干 \＆＃34; .AspNetCore.Antiforgery.AXelvXewLHI \＆＃34;不存在。＆＃34;

在Identity Server中，我有自定义登录页面。我在登录页面配置了防伪标记。

<div ng-show="model.loginUrl">
    <div class="cr-login-dialog col-md-6 col-md-offset-3">
        <form name="form" method="post" action="{{model.loginUrl}}" class="form-horizontal" role="form">
            <anti-forgery-token token="model.antiForgery"></anti-forgery-token>
            <div class="form-group">
                //user name controls goes here
            </div>
            <div class="form-group">
                //password controls goes here
            </div>
            <div class="form-group" ng-show="model.allowRememberMe">
                // remember me controls goes here
            </div>
        </form>
    </div>
</div>

Answer 1

您应该将您的反xsrf中间件分离出来，只运行您的请求，而不是对IdentityServer的请求。 IdentityServer自己执行与MVC实现无关的反xsrf令牌（因为IdentityServer没有依赖于MVC）。

如何从IdentityServer 3发布Antiforgery令牌

1 个答案: