Следует ли применять AntiForgeryToken к каждому действию после публикации?

Question

Следует ли применять AntiForgeryToken к каждому пост-действию в приложении ASP.NET MVC? Вдобавок ко всему, я не могу придумать причину, по которой вы не захотите хотеть включать это в каждое действие после публикации, но кажется, что никто никогда не рекомендует использовать это во всех ваших действиях.

Мне бы очень хотелось услышать ваши мысли.

Answer 1

Я всегда использую его для действий POST / DELETE / PUT. Я хочу быть как можно более уверенным в том, что запрос поступает со страницы, которую мой сервер отправил в браузер, когда я в результате меняю данные.

Answer 2

Чтобы не добавлять маркер защиты от подделки в форму, необходимо быть полностью уверенным, что не существует возможности межсайтовой (или другой) атаки. И что такое приложение не будет найдено в будущем для этого случая.

С другой стороны, есть ли существенный недостаток наличия токена?

Похоже, что не всегда делать это будет больше (умственных) усилий, чтобы найти эти случаи "без риска".