ASP .NET 中的角色身份验证以 HTTP400 响应结束

Posted 2023-04-12

【中文标题】ASP .NET 中的角色身份验证以 HTTP400 响应结束

【英文标题】：Roles auth in ASP .NET ends up with a HTTP400 response

【发布时间】：2021-11-29 14:49:19

【问题描述】：

我尝试在 ASP .NET Core 中进行简单的角色身份验证。制作方法如下：

    [HttpPost]
    [ValidateAntiForgeryToken]
    public async Task<IActionResult> Login(LoginModel model)
    
        if (ModelState.IsValid)
        
            User user = await _db.Users.Include(u => u.Role).FirstOrDefaultAsync(u => u.Code == model.Code && u.Password == model.Password);
            if (user != null)
            
                await Authenticate(user);

                return RedirectToAction("Cabinet", "Cabinet");
            
            ModelState.AddModelError("", "Incorrect login or password");
        
        return View(model);
    
    private async Task Authenticate(User user)
    
        var claims = new List<Claim>
        
            new Claim(ClaimsIdentity.DefaultNameClaimType, user.Code),
            new Claim(ClaimsIdentity.DefaultRoleClaimType, user.Role?.Name)
        ;

        ClaimsIdentity id = new ClaimsIdentity(claims, "ApplicationCookie", ClaimsIdentity.DefaultNameClaimType, ClaimsIdentity.DefaultRoleClaimType);
        await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, new ClaimsPrincipal(id));
    

当我在CabinetController 中有这样的方法时，它工作得很好：

    [Authorize(Roles = "admin,user")]
    [HttpGet]
    public async Task<IActionResult> Cabinet()
    
        //some actions here
    

但是当我添加[ValidateAntiForgeryToken] 并且我的方法看起来像这样：

    [Authorize(Roles = "admin,user")]
    [ValidateAntiForgeryToken]
    [HttpGet]
    public async Task<IActionResult> Cabinet()
    
        //some actions here
    

身份验证成功后，我得到了 HTTP 400。我认为RedirectToAction("Cabinet", "Cabinet"); 会引发错误 400。我说的对吗？如果我是，为什么会这样？

【参考方案1】：

错误很明显。

当您在方法上添加ValidateAntiForgeryToken 时，您需要将防伪令牌与请求一起发送。