Html.AntiForgeryToken() 防止CSRF攻击的AJaX应用

最新推荐文章于 2021-08-06 10:21:36 发布

转载最新推荐文章于 2021-08-06 10:21:36 发布 · 146 阅读

本文介绍了一种在不修改所有AJAX请求的情况下，通过拦截并自动添加AntiForgeryToken的方法，确保了在使用POST方法时能够正确地传递防伪请求令牌，提高了网站的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

有关Html.AntiForgeryToken()的使用其实网上的说明很多了,比如http://blog.youkuaiyun.com/cpytiger/article/details/8781457

那么我们写的AJAX调用怎么办了,难道需要修改所有的ajax请求数据吗?我个人比较懒惰喜欢写一个通用的代码.其实原理很简单就是拦截ajax请求,然后追加自己的数据.注意在ajax传输数据的时候可以是String/object,所以这里需要处理一下:

if (typeof data !== "string") {
data = $.param(data);
}

一般我们都是在ready方法中拦截指定方法:

        var oldajax = $.ajax;
        $.ajax = function () {
            var len = arguments.length;
            for (var i = 0; i < len; i++) {
                var data = arguments[i].data;
                var type = $.trim(arguments[i].type);
                type = type.toLowerCase();
                if (data && type=="post") {
                    var tokenstr = $(document.getElementsByName("__RequestVerificationToken")).val();
                    if (typeof data !== "string") {
                        data = $.param(data);
                    }
                    data = data + "&__RequestVerificationToken=" + tokenstr;
                    arguments[i].data = data;
                }
            }
            oldajax.apply(null, arguments);
        }

全部的js code 如下:

 $(function () {
        var oldajax = $.ajax;
        $.ajax = function () {
            var len = arguments.length;
            for (var i = 0; i < len; i++) {
                var data = arguments[i].data;
                var type = $.trim(arguments[i].type);
                type = type.toLowerCase();
                if (data && type=="post") {
                    var tokenstr = $(document.getElementsByName("__RequestVerificationToken")).val();
                    if (typeof data !== "string") {
                        data = $.param(data);
                    }
                    data = data + "&__RequestVerificationToken=" + tokenstr;
                    arguments[i].data = data;
                }
            }
            oldajax.apply(null, arguments);
        }

        $('#btn1').click(function () {
            $.ajax({
                type: "POST",
                url: "home/SecurityPost",
                // data: "name=John&location=Boston",
                data: { "name": "John", "location": "Boston" },
                success: function (msg) {
                    alert("Data Saved: " + msg);
                }
            });

        });


    });