Automazione convalida token anti contraffazione su app MVC

Question

C'è un modo per avere automaticamente l'annotazione [ValidateAntiForgeryToken] su tutti i metodi di post HTTP su un controller senza dover definirlo esplicitamente?

e c'è anche un modo per estendere l'helper MVC Html.BeginForm() per includere il token anti contraffazione in ogni momento?

e infine lo scopo di tale operazione è di mantenere le cose coerenti in tutta l'applicazione, può esserci un motivo per non farlo per alcuni scenari?

Answer 1

Ero alla ricerca di questo argomento e ho compilato la soluzione completa di seguito e anche here. Consiste di alcune parti tra cui il metodo di supporto AntiForgeryTokenFilterProvider e BeginSecureForm. Permette anche di saltare la convalida per una singola azione con DisableAntiForgeryCheckAttribute.

public class AntiForgeryTokenFilterProvider : IFilterProvider 
{ 
    public IEnumerable<Filter> GetFilters(ControllerContext controllerContext, ActionDescriptor actionDescriptor) 
    { 
     IEnumerable<FilterAttribute> filters = actionDescriptor.GetFilterAttributes(true); 

     bool disableAntiForgery = filters.Any(f => f is DisableAntiForgeryCheckAttribute); 

     string method = controllerContext.HttpContext.Request.HttpMethod; 

     if (!disableAntiForgery 
      && String.Equals(method, "POST", StringComparison.OrdinalIgnoreCase)) 
     { 
      yield return new Filter(new ValidateAntiForgeryTokenAttribute(), FilterScope.Global, null); 
     } 
    } 
} 

[AttributeUsage(AttributeTargets.Method)] 
public sealed class DisableAntiForgeryCheckAttribute : FilterAttribute 
{ 
} 

// Usage: 
public class FilterConfig 
{ 
    public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
    { 
     //**// 
     FilterProviders.Providers.Add(new AntiForgeryTokenFilterProvider()); 
     //**// 
    } 
} 

// Html Helper method 
public static class HtmlExtensions 
{ 
    public static MvcForm BeginSecureForm(this HtmlHelper html, string action, string controller) 
    { 
     var form = html.BeginForm(action, controller); 
     html.ViewContext.Writer.Write(html.AntiForgeryToken().ToHtmlString()); 

     return form; 
    } 
}