Html.AntiForgeryToken() toujours nécessaire?

Est @Html.AntiForgeryToken() encore nécessaires dans ASP.NET .NET4.6 vNext?

La forme des décorations ont changé de

<form asp-controller="Account" 
      asp-action="Login" 
      asp-route-returnurl="@ViewBag.ReturnUrl" 
      method="post" 
      class="form-horizontal" 
      role="form">

De cette

@using (Html.BeginForm("Login", 
                       "Account", 
                       new { ReturnUrl = ViewBag.ReturnUrl }, 
                       FormMethod.Post, 
                       new { @class = "", role = "form" }))

Et ne comprennent plus ce

@Html.AntiForgeryToken()

Les Actions du Contrôleur sont encore marquées avec le ValidateAntiForgeryToken attribut comme prévu mais alors, où, exactement, est-il en venir? Magiquement?

[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Login(LoginViewModel model, string returnUrl = null)

OriginalL'auteur mezmi | 2015-06-20

  1. 39

    La balise form helper va ajouter automatiquement les anti faux jeton. (Sauf si vous l'utiliser comme un standard de l'élément de formulaire html, ajoutant manuellement une action attribut). Vérifier le code source de la balise form helper, vous verrez à la fin de la Process méthode.

    if (Antiforgery ?? antiforgeryDefault)
{
    var antiforgeryTag = Generator.GenerateAntiforgery(ViewContext);
    if (antiforgeryTag != null)
    {
        output.PostContent.AppendHtml(antiforgeryTag);
    }
}

    Si vous examinez le code html de la page de connexion, vous verrez ce qui suit caché entrées à l'intérieur de la forme:

    <input name="__RequestVerificationToken" type="hidden" value="CfDJ8BIeHClDdT9...">

    Vous pouvez également manuellement activer/désactiver l'ajout de la asp-antiforgery attribut:

    <form asp-controller="Account" asp-action="Register" asp-antiforgery="false" method="post" class="form-horizontal" role="form">
    Comme de la MVC 6, Asp.net 5 RC1 de la Balise d'aide est "asp-antiforgery" pas "asp-anti-contrefaçon" je ne sais pas si c'était déjà comme ça, ou changé. <br/> <form asp-controller="Account" asp-action="Register" asp-antiforgery="false" method="post" class="form-horizontal" role="form">

    OriginalL'auteur Daniel J.G.