Come includere l'@ Html.AntiForgeryToken() durante l'eliminazione di un oggetto utilizzando un collegamento Elimina

Question

ho il seguente ajax.actionlink che richiede un Delete action method per l'eliminazione di un oggetto: -

@if (!item.IsAlreadyAssigned(item.LabTestID)) 
     { 
     string i = "Are You sure You want to delete (" + @item.Description.ToString() + ") ?"; 
      @Ajax.ActionLink("Delete", 
     "Delete", "LabTest", 
     new { id = item.LabTestID }, 

new AjaxOptions 
{ Confirm = i, 
    HttpMethod = "Post", 
    OnSuccess = "deletionconfirmation", 
    OnFailure = "deletionerror" 
}) 
} 

, ma c'è un modo per includere @Html.AntiForgeryToken() con la chiamata di eliminazione Ajax.actionlink per assicurarsi che nessun utente malintenzionato possa inviare una richiesta di eliminazione non valida?

BR

Answer 1

È necessario utilizzare il Html.AntiForgeryToken helper, che imposta un cookie ed emette un campo nascosto con lo stesso valore. Quando si invia la richiesta AJAX è necessario aggiungere questo valore anche ai dati POST.

quindi vorrei usare un normale collegamento al posto di un collegamento Ajax:

@Html.ActionLink(
    "Delete", 
    "Delete", 
    "LabTest", 
    new { 
     id = item.LabTestID 
    }, 
    new { 
     @class = "delete", 
     data_confirm = "Are You sure You want to delete (" + item.Description.ToString() + ") ?" 
    } 
) 

e poi mettere il campo nascosto da qualche parte nel DOM (ad esempio prima del tag body di chiusura):

@Html.AntiForgeryToken() 

e infine discretamente AJAXify l'ancora di eliminazione:

$(function() { 
    $('.delete').click(function() { 
     if (!confirm($(this).data('confirm'))) { 
      return false; 
     } 

     var token = $(':input:hidden[name*="RequestVerificationToken"]'); 
     var data = { }; 
     data[token.attr('name')] = token.val(); 
     $.ajax({ 
      url: this.href, 
      type: 'POST', 
      data: data, 
      success: function (result) { 

      }, 
      error: function() { 

      } 
     }); 

     return false; 
    }); 
}); 

Ora si potrebbe decorare la vostra Delete azione con l'attributo ValidateAntiForgeryToken:

[HttpPost] 
[ValidateAntiForgeryToken] 
public ActionResult Delete(int id) 
{ 
    ... 
} 

Answer 2

Modifica la risposta Bronx:

$.ajaxPrefilter(function (options, localOptions, jqXHR) { 
    var token, tokenQuery; 
    if (options.type.toLowerCase() !== 'get') { 
     token = GetAntiForgeryToken(); 
     if (options.data.indexOf(token.name)===-1) { 
      tokenQuery = token.name + '=' + token.value; 
      options.data = options.data ? (options.data + '&' + tokenQuery) 
       : tokenQuery; 
     } 
    } 
}); 

combinato con questa risposta da Jon White

function GetAntiForgeryToken() { 
    var tokenField = $("input[type='hidden'][name$='RequestVerificationToken']"); 
    if (tokenField.length == 0) { return null; 
    } else { 
    return { 
    name: tokenField[0].name, 
    value: tokenField[0].value 
    }; 
} 

Modifica dispiace - realizzato io sono re-inventare la ruota qui SO asp-net-mvc-antiforgerytoken-over-ajax/16495855#16495855