Как решить исключение AntiForgeryToken, которое происходит после iisreset в моем приложении ASP.Net MVC?

Ответ 1

Если ваш MachineKey установлен в AutoGenerate, то ваши токены проверки и т.д. не смогут пережить перезапуск приложения - ASP.NET будет генерировать новый ключ при запуске, а затем не сможет правильно дешифровать маркеры.

Если вы видите это много, я бы предложил:

• Настройка статического MachineKey (вы должны это сделать на уровне приложения), см. "Как настроить MachineKey" для Дополнительная информация
• Не пытайтесь выполнять сброс IIS при использовании сайта ¹

¹ Лучший способ сделать это - иметь загруженное приложение, которое потребует установки статического MachineKey. Другим вариантом является удаление сайта, поместив в корневом каталоге файл с именем app_offline.htm, который отключит сайт и отобразит ваше сообщение. По крайней мере, пользователи будут ожидать, что что-то пойдет не так.

Ответ 2

На данный момент я пошел с решением, которое счищает куки файл, если исключение выбрано. Если исключение будет выброшено снова, я просто позволю этому случиться, как было.

Я не буду отмечать это как "ответ" на данный момент в надежде, что у кого-то будет лучший ответ.

public static class MyAntiForgeryExtensions
{
    // Methods
    public static string MyAntiForgeryToken(this HtmlHelper helper)
    {
        return MyAntiForgeryToken(helper, null);
    }

    public static string MyAntiForgeryToken(this HtmlHelper helper, string salt)
    {
        string fragment;
        string path = helper.ViewContext.HttpContext.Request.ApplicationPath;
        try
        {
            fragment = helper.AntiForgeryToken(salt, null, path);
        }
        catch (HttpAntiForgeryException)
        {
            // okay, scrub the cookie and have another go.
            string cookieName = GetAntiForgeryTokenName(path);
            helper.ViewContext.HttpContext.Request.Cookies.Remove(cookieName);
            fragment = helper.AntiForgeryToken(salt, null, path);
        }
        return fragment;
    }

    #region AntiForgeryData code that shouldn't be sealed
    // Copied from AntiForgeryData since they aren't accessible.
    internal static string GetAntiForgeryTokenName(string appPath) {
        if (String.IsNullOrEmpty(appPath)) {
            return "__RequestVerificationToken";
        }
        else {
            return "__RequestVerificationToken_" + Base64EncodeForCookieName(appPath);
        }
    }
    private static string Base64EncodeForCookieName(string s) {
        byte[] rawBytes = Encoding.UTF8.GetBytes(s);
        string base64String = Convert.ToBase64String(rawBytes);

        // replace base64-specific characters with characters that are safe for a cookie name
        return base64String.Replace('+', '.').Replace('/', '-').Replace('=', '_');
    }
    #endregion
}

Ответ 3

У меня была эта проблема, и чтобы исправить то, что вам нужно сделать, это добавить явный машинный ключ в вашу веб-конфигурацию...

<machineKey validationKey="D82960E6B6E9B9029D4CAB2F597B5B4AF631E3C182670855D25FBDE1BFAFE19EFDE92ABBD1020FC1B2AE455D5B5F8D094325597CE1A7F8B15173407199C85A16" decryptionKey="577404C3A13F154908D7A5649EEC8D7C8A92C35A25A3EC078B426BB09D426A71" validation="SHA1" decryption="AES" /> 

обеспечить его размещение в web.config внутри...

<system.web>

Ответ 4

Вы можете добавить AntiForgeryConfig.SuppressIdentityHeuristicChecks = true; в global.asax

protected void Application_Start() {
    AntiForgeryConfig.SuppressIdentityHeuristicChecks = true;
}

Ответ 5

Если я делаю iisreset на своем веб-сервере и пользователь продолжает сессии они получают отскакивание от входа стр.

Нет причин для iisreset, чтобы привести пользователя на страницу входа. Если вы используете файлы cookie для отслеживания информации об аутентификации и используете приложение без учета состояния, пользователь должен пройти аутентификацию даже после перезагрузки сервера (конечно, если запрос выполняется во время reset, он не будет работать).

Ответ 6

На самом деле я нашел, что это работает в моем действии входа:

    public ActionResult LogOn()
    {
        formsAuthentication.SignOut();

        Response.Cookies.Clear();

        Session[SessionKeys.USER_SESSION_KEY] = null;
        Session.Clear();
        Session.Abandon();


        return View();
    }

Важная часть: Response.Cookies.Clear();