Il token anti-contraffazione era destinato a un utente diverso basato sulle attestazioni

Question

Sto lavorando su una funzione di disconnessione nell'applicazione che stiamo utilizzando accesso Identità ASP.NET. Posso entrare con successo ma quando ho il logout e quindi provare a effettuare nuovamente il login ricevo il seguente messaggio:

The provided anti-forgery token was meant for a different claims-based user than the current user. 

Ecco il mio codice di logout:

public ActionResult Logout() 
     { 
      SignInManager.Logout(); 
      return View("Index"); 
     } 

**SignInManager.cs** 
public void Logout() 
     { 
      AuthenticationManager.SignOut(); 
     } 

Dopo l'utente preme il pulsante di disconnessione è portato alla schermata di accesso. L'url dice ancora "http://localhost:8544/Login/Logout". Dal momento che siamo nella schermata di accesso forse dovrebbe solo dire "http://localhost:8544/Login".

Answer 1

Prova questa:

public ActionResult Logout() 
{ 
    AuthenticationManager.SignOut(); 
    Session.Abandon(); 
    return RedirectToAction("Index"); 
} 

Che sarà ricaricata la pagina di accesso, che vi fornirà un nuovo token CSRF.

Answer 2

Si sta restituendo un View anziché chiamare RedirectToAction(). Quindi, ciò che sta accadendo è che la vista è in esecuzione nel contesto della richiesta di disconnessione, in cui l'utente è ancora loggato. Non verranno disconnessi fino al termine della richiesta.

Quindi, cercare

public ActionResult Logout() 
{ 
    SignInManager.Logout(); 
    return RedirectToAction("Index", "Home"); 
} 

Answer 3

Ciò che ha funzionato per me è stata la commutazione dell'ordine dei middleware utilizzati. Aggiungi prima app.UseAuthentication() e poi la roba antiforgia. Ecco come ho fatto:

app.UseAuthentication(); 
app.Use(next => ctx => 
     { 
      var tokens = antiforgery.GetAndStoreTokens(ctx); 

      ctx.Response.Cookies.Append("XSRF-TOKEN", tokens.RequestToken, 
       new CookieOptions() { HttpOnly = false }); 

      return next(ctx); 
}); 

Facendo il contrario crea un token che non è destinato per gli utenti autenticati.