Безопасны ли шаблоны редактора бета-версии ASP.NET MVC 4 от CSRF? - PullRequest
Новая
       28

Безопасны ли шаблоны редактора бета-версии ASP.NET MVC 4 от CSRF?

2 голосов
/ 01 апреля 2012

Безопасны ли страницы, сгенерированные бета-шаблонами ASP.NET MVC 4, от подделки межсайтовых запросов?

В частности, представление «Редактирование» и действие контроллера генерируются «Контроллером с действиями чтения / записи ипредставления, использующие EntityFramework "защищен от CSRF?

Изучая HTML-код, сгенерированный формой редактирования, я не вижу скрытое поле или другой способ реализации токена защиты от подделки.

Я что-то упустил или пример по умолчанию небезопасен?

1 Ответ

16 голосов
/ 01 апреля 2012

Вам необходимо явно реализовать токен защиты от подделки.

В представлении: 

@using (Html.BeginForm(...
{
    @Html.AntiForgeryToken()
    ...
}

В контроллере 

[HttpPost]
[ValidateAntiForgeryToken]
public ActionResult MyAction(MyViewModel model)
{
    ...

Вы всегда можете создать пользовательский T4шаблоны для создания этого для вас, но нет, готовые шаблоны не делают это по умолчанию.

...