要求ごとにAntiForgeryTokenの変更

Question

私はAntiForgeryTokenヘルパーメソッドを使用しています。私がAntiForgeryTokenについて理解していることは、各ユーザーが同じトークンを持ち、別のユーザーが異なるトークンを持つように（すべてのフォームに同じ塩を使用する場合）、セッションベースだということです。私の "問題"は、AntiForgeryTokenが同じユーザーのために同じ塩で異なるトークンを生成しているということです。たとえば...

Contoller

public ActionResult Test() 
{ 
    return View(); 
} 

ビュー

@using (Html.BeginForm()) 
{ 
    @Html.AntiForgeryToken("Salty!") 
} 

出力要求＃1

<input name="__RequestVerificationToken" type="hidden" value="K1sijFuYvyGUJjGg33OnLjJaU3tFpGFDutRt9TOFSkZ6FcrhJMMQPnOqjIHuTwBXs/sPBXEiE+1qyV9l63nnSO161b+OtLbaBoPC7K3/7wxtnuSY+N0o/fqBgVoDyac4dNVp+OvanKBSrHINKfc3WEg9269BHOJNzFowC6Aeac/afAGTGrBypxUHfqrKVowD" /> 

出力要求＃2

<input name="__RequestVerificationToken" type="hidden" value="mOpP6LMQXnCmjr5/Wdtnhguh3PyZxWj7GWf8LYzZXPKcJBBT+DbAHvynquSD65O0DBw1RKR7DxCNg372ukftCOWms+o75CraMyFMnvjGk7RU+znIQm05eRQvr5H6d/MDyn+0DWm3jLnMBM9GplsgMRqbdAHzSe69/cS2x9A4X/9jFTZQHUWXXHUr0xewF8Rk" /> 

キーが同じ塩と同じセッションのために異なっています。 CRSFの保護について根本的な誤解がありますか？それともこれは新しい機能ですか？

Answer 1

アンチXSRFトークンは、同じランダムの値をセッションクッキーとフォームに暗号化することによって動作します。セッションCookieは、作成したフォームから投稿を作成した場合にのみ提出されます。

このアプローチは、たとえば次のようにも機能します。すべてのサーバーが暗号化キーを共有する（負荷分散のシナリオでは）サーバーファーム上で実行されます。検証は、ポストされたフォームデータの復号化された値と、公開されたセッションクッキーの復号化された値を比較することによってのみ機能します。これはdouble submitted cookieメソッドと呼ばれます。

したがって、各リクエストが異なる値を取得するのはかなり普通です。 ASP.NET MVC XSRFトークンについてThis is a nice post