複数のASP.NETサブプロジェクト間でのAntiForgeryTokenの使用

Question

@Html.AntiForgeryToken()を同じプロジェクト内にあるフォームで使用すると、完全に機能します。ただし、フォームのアクション場所が同じソリューション内の別のプロジェクトにある場合、次のエラーが発生します。

偽造トークンを復号化できませんでした。このアプリケーションがWebファームまたはクラスタによってホストされている場合は、すべてのマシンで同じバージョンのASP.NET Web Pageが実行されており、明示的な暗号化と検証キーが指定されていることを確認してください。 AutoGenerateはクラスタ内では使用できません。

異なるプロジェクト間でAntiForgeryTokenを使用する方法はありますか？

Answer 1

偽造防止トークンの署名/暗号化は、Web設定の<machinekey>セクションにあるキーによって管理されます。これが設定されていない場合、値はアプリごとに自動生成されます。つまり、各アプリは異なるマシンキーを持つため、あるアプリのトークンを別のアプリで復号化することはできません。

幸いにも、独自の値を生成し、各アプリケーションのWeb設定に保存することは可能です。これを実行するためのプロセスは、ここにも記述されている：

https://msdn.microsoft.com/en-us/library/ff649308.aspx#paght000007_webfarmdeploymentconsiderations

セキュリティがあなたの最大の関心事ではない場合、あなたは多くの利用可能なオンラインのmachineKeyジェネレータのいずれかを検討するかもしれません。私はTLS/SSL/HTTPSで保護されていないし、これらのサイトの運営者を知らないので、信頼は大きな問題だと思う。