ASP.NET如何防止跨站点请求伪造
环境：ASP.NET、MVC5、EntityFramework
对于任何BS程序来说，安全始终是最为重要的一个话题，而跨站点请求伪造是最容易发起的，只需要下个工具（如fiddler）即可轻易实现。我们可以通过对Controller类采取下列措施防止该类黑客行为的发生：
1、在提交数据处理的页面上，加上@Html.AntiForgeryToken()语句。
2、在接收并处理提交的数据的方法上加上[ValidateAntiForgeryToken]属性。
3、对于所有对数据库等信息进行操作的方法，全部加上[HttpPost]属性，即使用POST提交数据。
4、在该方法上利用BindAttribute绑定entityclass，将用Include属性限定绑定的属性范围，令该方法不处理指定参数之外的参数。
[HttpPost]
[ValidateAntiForgeryToken]
public ActionResultEdit([Bind(Include="ID,LastName,FirstMidName,EnrollmentDate")]Student student)
{
if(ModelState.IsValid)
{
db.Entry(student).State =EntityState.Modified;
db.SaveChanges();
returnRedirectToAction("Index");
}
returnView(student);
}
但经测试，上述代码会产生一个问题，即不在绑定的属性清单中的字段值会被直接清为null。
5、不采用绑定entity class，而是通过利用控制器的
TryUpdateModel方法来限定字段范围，再通过
db.Entry将其
State设置为
EntityState.Modified，最后提交数据。具体如下：
[HttpPost,ActionName("Edit")]
[ValidateAntiForgeryToken]
public ActionResult EditPost(int? id)
{
if (id ==null)
{
return newHttpStatusCodeResult(HttpStatusCode.BadRequest);
}
varstudentToUpdate = db.Students.Find(id);
if(TryUpdateModel(studentToUpdate, "",
new string[] { "LastName","FirstMidName", "EnrollmentDate" }))
{
try
{
db.Entry(studentToUpdate).State =EntityState.Modified;
db.SaveChanges();
return RedirectToAction("Index");
}
catch (DataException )
{
//Log the error (uncomment dex variable name andadd a line here to write a log.
ModelState.AddModelError("", "Unable to savechanges. Try again, and if the problem persists, see your systemadministrator.");
}
}
returnView(studentToUpdate);
}
用此方法，并发处理将会被忽略，也就是即便没有被指定的字段也会使用加载时（Find方法调用时）的值重新更新一次。