Anti faux jeton signifie pour l'utilisateur “” mais l'utilisateur actuel est le “nom d'utilisateur”

Ce qui se passe parce que les anti-faux jeton incorpore le nom d'utilisateur de l'utilisateur dans le cadre de l'jeton chiffré pour mieux validation. Lorsque vous appelez d'abord la @Html.AntiForgeryToken() l'utilisateur n'est pas connecté dans le jeton sera une chaîne vide pour le nom d'utilisateur, après que l'utilisateur se connecte, si vous ne remplacez pas l'anti-faux jeton de ne pas passer à la validation du fait que les premiers jeton a été pour utilisateur anonyme et maintenant nous avons un utilisateur authentifié avec un nom d'utilisateur.

Vous avez un peu d'options pour résoudre ce problème:

1. Juste cette fois, laissez votre SPA de faire un POST complet et lorsque la page est actualisée, elle va avoir un anti-faux jeton avec la mise à jour du nom d'utilisateur intégré.

2. Avoir une vue partielle avec juste @Html.AntiForgeryToken() et à droite après la connexion, faire une autre requête AJAX et remplacer votre anti-faux jeton avec la réponse à la demande.

3. Il suffit de désactiver la vérification de l'identité de l'anti-contrefaçon de validation effectue. Ajoutez les lignes suivantes à votre Application_Start méthode: AntiForgeryConfig.SuppressIdentityHeuristicChecks = true.

Il se passe beaucoup de temps avec mon application, j'ai donc décidé de google pour elle!

J'ai trouvé une explication simple sur cette erreur!
L'utilisateur double-cliquez sur le bouton pour vous connecter! Vous pouvez en voir un autre utilisateur d'en parler sur le lien ci-dessous:

MVC 4, à la condition anti-faux jeton a été conçu pour l'utilisateur ", " mais l'utilisateur actuel est "utilisateur"

J'espère que cela aide! =)

Le message s'affiche lorsque vous vous connectez quand vous êtes déjà authentifié.

Cette aide fait exactement la même chose que [ValidateAntiForgeryToken] attribut.

System.Web.Helpers.AntiForgery.Validate()

Supprimer la [ValidateAntiForgeryToken] attribut de contrôleur et de placer cette fonction d'aide à l'action methode.

Ainsi, lorsque l'utilisateur est déjà authentifié, rediriger vers la page d'accueil ou sinon, continuez avec la vérification de la validité de la lutte anti-contrefaçon jeton après cette vérification.

if (User.Identity.IsAuthenticated)
{
    return RedirectToAction("Index", "Home");
}

System.Web.Helpers.AntiForgery.Validate();

Pour essayer de reproduire l'erreur, procédez comme suit:
Si vous êtes sur votre page de connexion et vous n'êtes pas authentifié. Si vous dupliquez l'onglet et que vous vous connectez avec le deuxième onglet.
Et si vous revenez sur le premier onglet sur la page de connexion et vous essayez de vous connecter sans avoir à recharger la page ... vous avez cette erreur.

J'ai eu une assez précis, même problème similaire dans le processus d'inscription. Une fois que l'utilisateur a cliqué sur le lien du courriel envoyé à eux, qu'ils allaient être enregistré et envoyé directement à un compte d'écran pour remplir un peu plus d'informations. Mon code est:

    Dim result = Await UserManager.ConfirmEmailAsync(userId, code)
    If result.Succeeded Then
        Dim appUser = Await UserManager.FindByIdAsync(userId)
        If appUser IsNot Nothing Then
            Dim signInStatus = Await SignInManager.PasswordSignInAsync(appUser.Email, password, True, shouldLockout:=False)
            If signInStatus = SignInStatus.Success Then
                Dim identity = Await UserManager.CreateIdentityAsync(appUser, DefaultAuthenticationTypes.ApplicationCookie)
                AuthenticationManager.SignIn(New AuthenticationProperties With {.IsPersistent = True}, identity)
                Return View("AccountDetails")
            End If
        End If
    End If

J'ai trouvé que le Retour à la Vue("AccountDetails") a été de me donner le jeton d'exception, je suppose parce que le ConfirmEmail fonction a été décoré avec AllowAnonymous mais la AccountDetails fonction de ValidateAntiForgeryToken.

Changeant le Retour à Retour RedirectToAction("AccountDetails") a résolu le problème pour moi.

J'ai eu le même problème avec une page unique ASP.NET MVC application de Base. Je l'ai résolu en mettant HttpContext.User dans toutes les actions du contrôleur qui changent d'identité en cours créances (depuis MVC seulement pour les requêtes suivantes, tel que discuté ici). J'ai utilisé un résultat filtre au lieu de middleware pour ajouter les antiforgery des cookies pour mes réponses, ce qui fait en sorte qu'ils ont été générés seulement après le MVC action étaient de retour.

Contrôleur (NB. Je suis de la gestion des utilisateurs avec ASP.NET de Base de l'Identité):

[Authorize]
[ValidateAntiForgeryToken]
public class AccountController : Controller
{
private SignInManager<IdentityUser> signInManager;
private UserManager<IdentityUser> userManager;
private IUserClaimsPrincipalFactory<IdentityUser> userClaimsPrincipalFactory;
public AccountController(SignInManager<IdentityUser> signInManager, UserManager<IdentityUser> userManager, IUserClaimsPrincipalFactory<ApplicationUser> userClaimsPrincipalFactory)
{
this.signInManager = signInManager;
this.userManager = userManager;
this.userClaimsPrincipalFactory = userClaimsPrincipalFactory;
}
[HttpPost]
[AllowAnonymous]
public async Task<IActionResult> Login(string username, string password)
{
if (username == null || password == null)
{
return BadRequest(); //Alias of 400 response
}
var result = await signInManager.PasswordSignInAsync(username, password, false, lockoutOnFailure: false);
if (result.Succeeded)
{
var user = await userManager.FindByNameAsync(username);
//Must manually set the HttpContext user claims to those of the logged
//in user. Otherwise MVC will still include a XSRF token for the "null"
//user and token validation will fail. (MVC appends the correct token for
//all subsequent reponses but this isn't good enough for a single page
//app.)
var principal = await userClaimsPrincipalFactory.CreateAsync(user);
HttpContext.User = principal;
return Json(new { username = user.UserName });
}
else
{
return Unauthorized();
}
}
[HttpPost]
public async Task<IActionResult> Logout()
{
await signInManager.SignOutAsync();
//Removing identity claims manually from the HttpContext (same reason
//as why we add them manually in the "login" action).
HttpContext.User = null;
return Json(new { result = "success" });
}
}

Résultat de filtre pour ajouter antiforgery cookies:

public class XSRFCookieFilter : IResultFilter
{
IAntiforgery antiforgery;
public XSRFCookieFilter(IAntiforgery antiforgery)
{
this.antiforgery = antiforgery;
}
public void OnResultExecuting(ResultExecutingContext context)
{
var HttpContext = context.HttpContext;
AntiforgeryTokenSet tokenSet = antiforgery.GetAndStoreTokens(context.HttpContext);
HttpContext.Response.Cookies.Append(
"MyXSRFFieldTokenCookieName",
tokenSet.RequestToken,
new CookieOptions() {
//Cookie needs to be accessible to Javascript so we
//can append it to request headers in the browser
HttpOnly = false
} 
);
}
public void OnResultExecuted(ResultExecutedContext context)
{
}
}

De démarrage.cs d'extrait de:

public partial class Startup
{
public Startup(IHostingEnvironment env)
{
//...
}
public IConfigurationRoot Configuration { get; }
public void ConfigureServices(IServiceCollection services)
{
//...
services.AddAntiforgery(options =>
{
options.HeaderName = "MyXSRFFieldTokenHeaderName";
});
services.AddMvc(options =>
{
options.Filters.Add(typeof(XSRFCookieFilter));
});
services.AddScoped<XSRFCookieFilter>();
//...
}
public void Configure(
IApplicationBuilder app,
IHostingEnvironment env,
ILoggerFactory loggerFactory)
{
//...
}
}