ASP.NET MVC - CSRF - AntiForgeryToken - Как это работает?

Question

Не могли бы вы объяснить, как работает весь этот AntiForgeryToken? Потому что я немного недопонимал.

Я верю, когда добавляю @ Html.AntiForgeryToken в моей форме, в моем скрытом входе и в файле cookie будет создан токен. Затем, когда форма отправляется, атрибут ValidateAntyFOrgeryToken проверяет, имеет ли токен, отправленный во входной форме, то же значение, что и в cookie.

Почему злоумышленник не может создать поддельный файл cookie и поддельный вход с тем же значением?

Answer 1

Попробуйте 3 части серии блога ... http://blogs.perficient.com/microsoft/2014/02/asp-net-mvc-anti-forgery-token-demystified-part-1-what-is-it/