Disabled CSRF protection (ARCH322)

Anahtar dotnet.security.disabled-csrf · Önem error · Kategori security · CWE CWE-352

Durum değiştiren bir uç noktada [IgnoreAntiforgeryToken] kullanmak antiforgery (CSRF) korumasını kaldırır. Bu, saldırganların kurbanın oturumu üzerinden istemediği istekleri tetiklemesine olanak tanır.

Hatalı

[HttpPost]
[IgnoreAntiforgeryToken]
public IActionResult TransferFunds(TransferModel model)
{
    _bank.Transfer(model);
    return RedirectToAction("Index");
}

Doğru

[HttpPost]
[ValidateAntiForgeryToken]
public IActionResult TransferFunds(TransferModel model)
{
    _bank.Transfer(model);
    return RedirectToAction("Index");
}

Düzeltme

[IgnoreAntiforgeryToken] özniteliğini kaldırın ve durum değiştiren tüm POST/PUT/DELETE işlemlerinde [ValidateAntiForgeryToken] kullanın.