ASP.NET MVC Bad Practices: Form Without AntiForgery Token

Razor 檢視包含表單，但是並未隨該表單包含防偽造權杖，因此可能更容易受到跨網站偽造要求攻擊。

ASP.NET MVC 在 HTML 表單中新增防偽造權杖，並在控制項中對該防偽造權杖進行驗證，從而提供便利的方式來更好地保護應用程式抵禦跨網站偽造要求攻擊。此權杖在使用時，通常做為隱藏表單欄位包括在內，並在提交表單時進行驗證，如此可以提高要求來自您的應用程式 (而非偽造) 的可能性。

一般而言，程式設計人員應將此防偽造權杖包括在內，因為這會提高針對應用程式使用惡意指令碼的代價。

範例 1：以下 Razor 程式碼會在產生的 HTML 中建立表單，但不含針對跨網站偽造要求攻擊的內建防禦：

@using (Html.BeginForm(new { ReturnUrl = ViewBag.ReturnUrl })) {
  // ... form elements
}

Example 2::The following Razor code creates a form in the resulting HTML without the built-in defense against cross-site request forgery. Note that parameter antiforgery is set to either false or null:

@using (Html.BeginForm("actionName", "controllerName", routeValues, FormMethod.Post, antiforgery: false, htmlAtts)) {
  // ... form elements
}