Преобразование ASP.NET MVC4 SPA AntiForgeryToken to PhoneGap

Question

У меня есть приложение SPA, которое использует некоторые функции ASP.NET MVC4, такие как AntiForgeryToken.

Я не знаю, как реализовать функции AntiForgeryToken в HTML без использования CSHTML, который не поддерживается в Phonegap?

Answer 1

Текущая реализация токена AntiForgery в ASP.NET MVC основана на HTML-помощнике, который генерирует скрытое поле ввода и устанавливает cookie. Если вы не можете использовать этого помощника, вам придется вручную перевернуть эту функцию.

Answer 2

Я думаю, что есть безопасный способ реализации анти-подделка маркеров без сервера сгенерированной страницы:

1. создать контроллер или веб-метод апите, который устанавливает HTTP только печенье с вашей анти-подделка маркеров значения и возвращает значение токена анти-подделки (как JSON). Существует общедоступный метод AntiForgery.GetTokens(), который вызывается Html.AntiForgeryToken(). Используйте этот метод для чтения значения токена в коде C#.
2. Вызовите контроллер или веб-метод api (в шаге 1) из javascript в приложении phonegap и возьмите возвращаемый токен анти-подделки и добавьте его в форму с помощью javascript (используйте скрытое поле ввода с именем _RequstVerificationToken).
3. Отправьте форму методу, указанному в [ValidateAntiForgeryToken], и она должна быть проверена соответствующим образом.

Microsoft предоставила очень похожий пример реализации here (см. Раздел «Анти-CSRF и AJAX»).

На первый взгляд это может показаться небезопасным, поскольку у вас есть метод контроллера, который устанавливает и возвращает токен анти-подделки, но веб-браузеры применяют same origin security policy, поэтому атаки XSRF не должны быть возможны.

Поскольку PhoneGap использует локальные файлы, не подлежит к same origin policy (see here), поэтому он будет иметь возможность сделать AJAX запросы в любой домен, указанный в вашем config.xml (see <access origin="..." /> here)