Внешний вход без ValidateAntiForgeryToken (возможна атака CSRF) - PullRequest
Новая
       4

Внешний вход без ValidateAntiForgeryToken (возможна атака CSRF)

0 голосов
/ 06 марта 2019

Что изменится, если я изменю метод вызова OAuth из этого: 

[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public ActionResult ExternalLogin(string provider, string localPort)
{
    return new ChallengeResult(provider, Url.Action("ExternalLoginCallback", "Account", new { localPort = localPort }));
}

на это: 

[AllowAnonymous]
public ActionResult ExternalLogin(string provider, string localPort)
{
    return new ChallengeResult(provider, Url.Action("ExternalLoginCallback", "Account", new { localPort = localPort }));
}

Это как-то влияет на уязвимость?Я слышал о возможной атаке CSRF, но я не совсем понимаю, что может быть плохого в запросе авторизации.Так что давайте CSRF-атака прошла успешно и чем что?Пользователь прошел аутентификацию без нажатия кнопки входа?Вот и все?

Дело в том, что я хочу реализовать аутентификацию настольных приложений, открыв url "/ Account / ExternalLogin? Provider = Google & localPort = 1234" и перенаправив токен доступа непосредственно на порт localhost после успешной авторизации.Но я не уверен, к чему ведет этот подход?

...