Durante il tentativo di disconnessione, il token anti-contraffazione fornito era destinato all'utente "XXXX", ma l'utente corrente è ""

Question

Ho un'app MVC 4 e ho problemi quando la sessione dei moduli scade e quindi l'utente prova a disconnettersi.

Es. Il timeout è impostato su 5 min. L'utente esegue il login. L'utente non esegue nulla per 10 minuti. L'utente fa clic sul collegamento LogOff. L'utente riceve errore: "Il token anti-contraffazione fornito era destinato all'utente" XXXX ", ma l'utente corrente è" "."

L'utente ha quindi dovuto sottoporsi a qualche ginnastica per aggirare il problema in modo da poter effettuare nuovamente il login, quindi effettuare nuovamente il logout (il logout viene utilizzato per chiudere il relativo cartellino del giorno).

Penso di capire perché questo accada ... ma non sono sicuro di come sistemarlo.

MODIFICA: Perché penso che questo stia accadendo è perché originariamente quando la pagina è caricata, il token AntiForgery viene generato per l'utente attualmente loggato. Ma poi quando la sessione scade e tentano di navigare verso la pagina di disconnessione, l'utente corrente è "" invece dell'utente reale. In quanto tale c'è una mancata corrispondenza e l'errore è reso.

Answer 1

In realtà si può gestire con IExceptionFilter, che reindirizza al /Account/Login

public class HandleAntiForgeryError : ActionFilterAttribute, IExceptionFilter 
{ 
    #region IExceptionFilter Members 

    public void OnException(ExceptionContext filterContext) 
    { 
     var exception = filterContext.Exception as HttpAntiForgeryException; 
     if (exception != null) 
     { 
      var routeValues = new RouteValueDictionary(); 
      routeValues["controller"] = "Account"; 
      routeValues["action"] = "Login"; 
      filterContext.Result = new RedirectToRouteResult(routeValues); 
      filterContext.ExceptionHandled = true; 
     } 
    } 

    #endregion 
} 

[HandleAntiForgeryError] 
[ValidateAntiForgeryToken] 
public ActionResult LogOff() 
{ 
} 

Inoltre è possibile utilizzare [HandleError(ExceptionType=typeof(HttpAntiForgeryException)...] ma richiede customErrors On.

Answer 2

La risposta di @cem è stata davvero utile per me e ho aggiunto una piccola modifica per includere lo scenario delle chiamate ajax con antiforgerytoken e sessione scaduta.

public void OnException(ExceptionContext filterContext) 
{ 
    var exception = filterContext.Exception as HttpAntiForgeryException; 
    if (exception == null) return; 

    if (filterContext.HttpContext.Request.IsAjaxRequest()) 
    { 
     filterContext.HttpContext.Response.StatusCode = 403; 
     filterContext.ExceptionHandled = true; 
    } 
    else 
    { 
     var routeValues = new RouteValueDictionary 
     { 
      ["controller"] = "Account", 
      ["action"] = "Login" 
     }; 
     filterContext.Result = new RedirectToRouteResult(routeValues); 
     filterContext.ExceptionHandled = true; 
    } 
} 

... e sul lato client è possibile aggiungere un gestore di errore con la sessione globale per reindirizzare alla schermata di login ...

$.ajaxSetup({ 
    error: function (x) { 
     if (x.status === 403) { 
      window.location = "/Account/Login"; 
     } 
    } 
});