MVC5 AntiForgeryToken - comment gérer “La lutte contre la falsification de jeton a été conçu pour l'utilisateur ”“, mais l'utilisateur actuel est ”xxx“.” l'exception"?

Essayer de réglage (dans le global.cs):

AntiForgeryConfig.UniqueClaimTypeIdentifier = ClaimTypes.NameIdentifier;

Cela va ajouter le nom de l'identifiant de votre jeton,

Comme pour le double problème de connexion, essayez d'utiliser un script de document, la date et l'heure de l'original soumettre à arrêter un deuxième présenter avec le même jeton.

//jQuery plugin to prevent double submission of forms
jQuery.fn.preventDoubleSubmission = function() {
  $(this).on('submit',function(e){
    var $form = $(this);

    if ($form.data('submitted') === true) {
      //Previously submitted - don't submit again
      e.preventDefault();
    } else {
      //Mark it so that the next submit can be ignored
      $form.data('submitted', true);
    }
  });

  //Keep chainability
  return this;
};

Donc, nous savons une chose; les utilisateurs comme le bouton de retour et ont l'habitude de le "double clic", c'est un gros problème avec AntiforgeryToken.

Mais selon ce que votre application n', il existe des moyens de limiter leur compulsion à faire. Le plus simple est de faire de votre mieux pour essayer de le faire le visiteur se sentent pas comme ils ont besoin de “rembobiner” leur demande de le modifier.

Assurer que le formulaire messages d'erreur est clair et concis afin d'assurer la
l'utilisateur sait ce qui est mal. Contexual erreurs de donner des points bonus.

Toujours maintenir la forme de l'état entre les soumissions de formulaire. En dehors de
les mots de passe ou numéros de carte de crédit, il n'y a aucune excuse, grâce à la MVC
former des assistants. @Html.LabelFor(x => x.FirstName)

Si les formes sont répartis à travers les onglets ou cachés divs tels que ceux utilisés dans
SPA cadres comme Angulaires ou ember.js être intelligent et de montrer l'
contrôleur de mises en page ou la forme que les erreurs provient en fait de dans
la soumission du formulaire lors de l'affichage de l'erreur. Ne vous contentez pas de les diriger
à la maison ou contrôleur de premier onglet.

“What's going on?” - Garder l'utilisateur au courant

Lorsqu'un AntiForgeryToken ne pas valider votre site web va lever une Exception de type System.Web.Mvc.HttpAntiForgeryException.

Si vous avez configuré correctement, vous avez amicale des erreurs allumé et cela signifie que votre page d'erreur n'affichera pas une Exception et montrer une belle page d'erreur qui leur dit ce qu'il est.

Vous pouvez rendre cela un peu plus facile en moins de donner à l'utilisateur une plus informatif de la page ciblée à ces exceptions près, par la capture de l'HttpAntiForgeryException.

private void Application_Error(object sender, EventArgs e)
{
    Exception ex = Server.GetLastError();

    if (ex is HttpAntiForgeryException)
    {
        Response.Clear();
        Server.ClearError(); //make sure you log the exception first
        Response.Redirect("/error/antiforgery", true);
    }
}

et votre /error/antiforgery vue de leur dire Désolé vous avez essayé de présenter deux fois la même information

Une autre Idée est de connecter l'erreur et de renvoyer l'utilisateur à l'écran de connexion:

Créer un HandleAntiforgeryTokenErrorAttribute classe qui Remplace la OnException méthode.

HandleAntiforgeryTokenErrorAttribute.cs:

public class HandleAntiforgeryTokenErrorAttribute : HandleErrorAttribute
{
    public override void OnException(ExceptionContext filterContext)
    {
        filterContext.ExceptionHandled = true;
        filterContext.Result = new RedirectToRouteResult(
            new RouteValueDictionary(new { action = "Login", controller = "Account" }));
    }
}

Filtre Global:

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        filters.Add(new HandleErrorAttribute());
        filters.Add(new HandleAntiforgeryTokenErrorAttribute()
            { ExceptionType = typeof(HttpAntiForgeryException) }
        );
    }
}

Je voudrais aussi utiliser quelques outils pour enregistrer toutes vos informations de connexion est partie critique de votre application

NLog général de journalisation et d'e-mails sur des applications critiques exceptions (y compris les exceptions).

Elmah pour le filtrage et l'adresse électronique du web exceptions.

EDIT:
Aussi, vous pouvez regarder un plugin jQuery appelé SafeForm. Lien

EDIT:

J'ai vu beaucoup de débat sur ce sujet et sur tous les points de vue sur le sujet ont des points valides, Comment je regarde c'est (Prises de owasp.org)

Cross-Site Request Forgery (CSRF) est une attaque qui force l'utilisateur final
pour exécuter des actions indésirables sur une application web dans laquelle ils sont
actuellement authentifié, les attaques de type CSRF cibler spécifiquement de l'état-évolution des demandes, pas le vol de données. L'anti-faux jeton
spécifique de "qui est connecté". Donc, une fois que vous vous connectez, puis revenir en arrière, la
ancien jeton n'est plus valide

Maintenant, j'ai aussi utiliser des adresses IP autorisées pour la connexion à attribuer une de mes applications avec 2 facteur d'autorisation si les utilisateurs changements d'adresse IP, donc si Cross-Site Request Forgery était en jeu, l'utilisateur ne serait pas correspondre à l'adresse IP et demande 2 facteur d'autorisation. presque comme la manière d'une sécurité routeur serait de travailler. mais si vous voulez le garder sur votre page de connexion, je ne vois pas un problème tant que vous avez de votre environnement de pages d'erreur configurer les gens ne vont pas se fâcher, car ils verront qu'ils ont fait quelque chose de mal.

OriginalL'auteur pool pro