Durata e utilizzo multiplo di un AntiForgeryToken?

Question

Sto provando a implementare i token antifora su richieste di ajax di un'applicazione angolare.

C'è una durata allegata con il token antifreddo? Se avessi l'app aperta a lungo in un browser senza toccarla, dì per un mese. Le richieste ajax falliranno a causa di un token stantio?

Il token può essere riutilizzato per più chiamate? Posso mantenere un token da qualche parte nella pagina e recuperarlo per tutte le chiamate ajax?

Answer 1

Le richieste ajax falliranno a causa di un token stantio? Sì

Il token può essere riutilizzato per più chiamate? No

Tuttavia, la domanda migliore da porsi è perché si utilizzano i token antiforgia con AJAX in primo luogo. Se stai usando AJAX, stai usando un'API, anche se non l'hai formalizzata come tale (solo una raccolta di azioni/controller che stai usando per AJAX/altre comunicazioni senza testa). I token di Antiforgery non funzionano bene con le API perché 1) le API tipicamente consentono l'accesso di terze parti a e 2) anche se non sono , esistono modi migliori per proteggerli.

Se si desidera garantire che solo il proprio sito possa accedere alla propria "API", quindi implementare l'autenticazione HTTP o qualche altro schema per autenticare le vostre richieste alla vostra "API". Questo è il modo in cui consenti sessioni di lunga durata che non falliranno.

Answer 2

Infatti le API dovrebbero essere consumate da terze parti, ma cosa riguarda le interfacce della pagina singola con AFT?

Sono preoccupato che richiedano ancora AFT per prevenire gli attacchi CSRF. Ed ecco un buon modo per usarli in Ajax requests.

Il token antiforgeria viene generato per sessione e rimane nei dati di sessione fino alla sua scadenza. Per la nuova sessione verrà generato un nuovo token. E sì, un singolo token può essere riutilizzato più volte all'interno della stessa sessione.

Controllare il collegamento che ho aggiunto, c'è un esempio di come può essere ottenuto il token per le richieste Ajax.