Wie löse ich eine AntiForgeryToken-Ausnahme, die nach einem iisreset in meiner ASP.Net MVC-App auftritt?

Question

Ich habe Probleme mit dem AntiForgeryToken in ASP.Net MVC. Wenn ich ein iisreset auf meinem Webserver mache und ein Benutzer mit seiner Sitzung fortfährt, werden sie auf eine Anmeldeseite weitergeleitet. Nicht schrecklich, aber dann explodiert der AntiForgen-Token und der einzige Weg, um wieder loszulegen, ist das Cookie im Browser wegzublasen.

Mit der Beta-Version von Version 1 ging es falsch beim Lesen des Cookies zurück für mich, also habe ich es vor der Frage nach einem Validierungstoken schrubben, aber das wurde behoben, als es veröffentlicht wurde.

Für jetzt denke ich werde ich zurück zu meinem Code, der das Beta-Problem behoben, aber ich kann nicht helfen, aber denke, dass ich etwas vermisse. Gibt es eine einfachere Lösung, sollte ich einfach ihren Helfer fallen lassen und einen neuen von Grund auf neu erstellen? Ich habe das Gefühl, dass ein Großteil des Problems darin besteht, dass es so tief in die alte ASP.Net-Pipeline eingebunden ist und versucht, es zu etwas zu machen, für das es eigentlich nicht vorgesehen war.

Ich hatte einen Blick in den Quellcode für die ASP.Net MVC 2 RC und es sieht nicht aus wie der Code hat sich viel geändert, so, während ich es nicht versucht habe, glaube ich nicht, dass es irgendwelche Antworten gibt Dort.

Hier ist der relevante Teil des Stack-Trace der Ausnahme.

Edit: Ich habe gerade festgestellt, ich habe nicht erwähnt, dass dies nur versucht, das Token auf die GET-Anfrage einzufügen. Dies ist nicht die Validierung, die auftritt, wenn Sie einen POST-Kick-off ausführen.

System.Web.Mvc.HttpAntiForgeryException: A required anti-forgery token was not 
supplied or was invalid. 
---> System.Web.HttpException: Validation of viewstate MAC failed. If this 
application is hosted by a Web Farm or cluster, ensure that <machineKey> 
configuration specifies the same validationKey and validation algorithm. 
AutoGenerate cannot be used in a cluster. 
---> System.Web.UI.ViewStateException: Invalid viewstate. 
    Client IP: 127.0.0.1 
    Port: 4991 
    User-Agent: scrubbed 
    ViewState: scrubbed 
    Referer: blah 
    Path: /oursite/Account/Login 
---> System.Security.Cryptography.CryptographicException: Padding is invalid and 
cannot be removed. 
at System.Security.Cryptography.RijndaelManagedTransform.DecryptData(Byte[] inputBuffer, Int32 inputOffset, Int32 inputCount, Byte[]& outputBuffer, Int32 outputOffset, PaddingMode paddingMode, Boolean fLast) 
at System.Security.Cryptography.RijndaelManagedTransform.TransformFinalBlock(Byte[] inputBuffer, Int32 inputOffset, Int32 inputCount) 
at System.Security.Cryptography.CryptoStream.FlushFinalBlock() 
at System.Web.Configuration.MachineKeySection.EncryptOrDecryptData(Boolean fEncrypt, Byte[] buf, Byte[] modifier, Int32 start, Int32 length, IVType ivType, Boolean useValidationSymAlgo) 
at System.Web.UI.ObjectStateFormatter.Deserialize(String inputString) 
--- End of inner exception stack trace --- 
--- End of inner exception stack trace --- 
at System.Web.UI.ViewStateException.ThrowError(Exception inner, String persistedState, String errorPageMessage, Boolean macValidationError) 
at System.Web.UI.ViewStateException.ThrowMacValidationError(Exception inner, String persistedState) 
at System.Web.UI.ObjectStateFormatter.Deserialize(String inputString) 
at System.Web.UI.ObjectStateFormatter.System.Web.UI.IStateFormatter.Deserialize(String serializedState) 
at System.Web.Mvc.AntiForgeryDataSerializer.Deserialize(String serializedToken) 
--- End of inner exception stack trace --- 
at System.Web.Mvc.AntiForgeryDataSerializer.Deserialize(String serializedToken) 
at System.Web.Mvc.HtmlHelper.GetAntiForgeryTokenAndSetCookie(String salt, String domain, String path) 
at System.Web.Mvc.HtmlHelper.AntiForgeryToken(String salt, String domain, String path) 

Answer 1

Wenn Ihre MachineKey auf Autogenerate gesetzt, dann Überprüfung Token, usw. wird keine Anwendung Neustart überleben - ASP.NET einen neuen Schlüssel erzeugen, wenn er startet, und dann nicht in der Lage sein, entschlüsseln Sie die Token korrekt.

Wenn Sie dies viel sehen, würde ich vorschlagen:

1. eine statische MachineKey konfigurieren (Sie sollten diese auf der Anwendungsebene in der Lage zu tun), siehe "How to: Configure a MachineKey" für weitere Informationen
2. Try nicht IIS Resets durchzuführen, wenn die Site

der beste Weg, dies ist, indem er eine lastausgeglichenen Anwendung zu tun verwendet wird, die w Andernfalls müssen Sie einen statischen MachineKey einstellen. Eine weitere Möglichkeit besteht darin, die Site downzuloaden, indem Sie eine Datei mit dem Namen app_offline.htm im Stammverzeichnis der Site platzieren. Dadurch wird die Site offline geschaltet und Ihre Nachricht wird angezeigt - zumindest erwarten die Benutzer, dass etwas schief läuft.

Answer 2

Wenn ich ein iisreset auf meinem Webserver und ein Benutzer weiterhin mit ihren Sitzung sie zu einer Anmelde Seite zurückgesendet.

Es gibt keinen Grund, einen Iisreset die Benutzer auf die Login-Seite zu bringen. Wenn Sie Cookies verwenden, um Authentifizierungsinformationen zu verfolgen und eine zustandslose Anwendung zu verwenden, sollte der Benutzer auch nach einem Serverneustart authentifiziert bleiben (wenn eine Anfrage während des Zurücksetzens erfolgt, wird dies natürlich fehlschlagen).

Answer 3

Für jetzt habe ich mit einer Lösung gegangen, die den Cookie scrubbt, wenn die Ausnahme ausgelöst wird. Wenn die Ausnahme erneut ausgelöst wird, lasse ich es einfach so geschehen, wie es war.

Ich werde dies nicht als "die" Antwort für jetzt in der Hoffnung, dass jemand eine bessere Antwort hat.

public static class MyAntiForgeryExtensions 
{ 
    // Methods 
    public static string MyAntiForgeryToken(this HtmlHelper helper) 
    { 
     return MyAntiForgeryToken(helper, null); 
    } 

    public static string MyAntiForgeryToken(this HtmlHelper helper, string salt) 
    { 
     string fragment; 
     string path = helper.ViewContext.HttpContext.Request.ApplicationPath; 
     try 
     { 
      fragment = helper.AntiForgeryToken(salt, null, path); 
     } 
     catch (HttpAntiForgeryException) 
     { 
      // okay, scrub the cookie and have another go. 
      string cookieName = GetAntiForgeryTokenName(path); 
      helper.ViewContext.HttpContext.Request.Cookies.Remove(cookieName); 
      fragment = helper.AntiForgeryToken(salt, null, path); 
     } 
     return fragment; 
    } 

    #region AntiForgeryData code that shouldn't be sealed 
    // Copied from AntiForgeryData since they aren't accessible. 
    internal static string GetAntiForgeryTokenName(string appPath) { 
     if (String.IsNullOrEmpty(appPath)) { 
      return "__RequestVerificationToken"; 
     } 
     else { 
      return "__RequestVerificationToken_" + Base64EncodeForCookieName(appPath); 
     } 
    } 
    private static string Base64EncodeForCookieName(string s) { 
     byte[] rawBytes = Encoding.UTF8.GetBytes(s); 
     string base64String = Convert.ToBase64String(rawBytes); 

     // replace base64-specific characters with characters that are safe for a cookie name 
     return base64String.Replace('+', '.').Replace('/', '-').Replace('=', '_'); 
    } 
    #endregion 
} 

Answer 4

Eigentlich fand ich dies in meiner Anmelde Aktion zu arbeiten:

public ActionResult LogOn() 
    { 
     formsAuthentication.SignOut(); 

     Response.Cookies.Clear(); 

     Session[SessionKeys.USER_SESSION_KEY] = null; 
     Session.Clear(); 
     Session.Abandon(); 


     return View(); 
    } 

Der wichtige Teil war: Response.Cookies.Clear();

Answer 5

Ich hatte dieses Problem und zu reparieren, was Sie tun müssen, ist ein expliziten Computerschlüssel in Ihrer Web-config hinzufügen ...

<machineKey validationKey="D82960E6B6E9B9029D4CAB2F597B5B4AF631E3C182670855D25FBDE1BFAFE19EFDE92ABBD1020FC1B2AE455D5B5F8D094325597CE1A7F8B15173407199C85A16" decryptionKey="577404C3A13F154908D7A5649EEC8D7C8A92C35A25A3EC078B426BB09D426A71" validation="SHA1" decryption="AES" /> 

sicherzustellen, sein in web.config platziert innerhalb ...

<system.web> 

Answer 6

Sie AntiForgeryConfig.SuppressIdentityHeuristicChecks = true; in global.asax

protected void Application_Start() { 
    AntiForgeryConfig.SuppressIdentityHeuristicChecks = true; 
}