ValidateAntiForgeryTokenはPOSTで自動的に実装されますか？

Question

私はPOSTが安全であるとみなされているといいます.Get noと、各コントローラのすべてのアクションで[ValidateAntiForgeryToken]を実装する必要があります。

質問：私は[POST]を使用するときに[ValidateAntiForgeryToken]データ注釈を使用する必要がありますか？

Answer 1

デフォルトではオフです。
これには正当な理由があります。必ずしもすべてのPOSTは、あなたが、それをformタグヘルパーを使用している場合あなたが[ValidateAntiForgeryToken]

[ValidateAntiForgeryToken] 
public IActionResult Post(Model model) 
{ 
    // ... etc 
} 

を使用してコントローラのアクションを飾る必要があり

（ご質問はasp.net-coreタグ付けされているので、特に真）形から来なければなりません<form>マークアップに自動的に反偽造トークンが追加されます。

<form action="/MyController" method="post"> 
    <input name="__RequestVerificationToken" type="hidden" value="fhTFfhkKNsdfhYazFtN6c4YbZAmsEwG0srqlUqqloi/OIJOIJoijojhishg" /> 
    <!-- rest of form here --> 
</form> 

注：あなたはまた、手動でフォームヘルパータグを使用して/無効__RequestVerificationToken生成を可能にすることができます

<form 
asp-controller="MyController" 
asp-action="MyAction" 
asp-antiforgery="false" 
method="post">