Pourquoi AntiForgeryToken n'est-il pas inclus dans chaque formulaire par défaut?

Question

Cela m'intéresse de savoir pourquoi AntiForgeryToken inclus par défaut dans chaque formulaire ASP.NET MVC? Il semble que les avantages de l'inclure toujours l'emportent sur les inconvénients possibles. Et ce comportement pourrait être désactivé en cas de besoin, comme pour les formulaires Web HttpRequestValidationException .

Answer 1

AntiForgeryToken n'a été déplacé que de "MVC Futures". sur " MVC Core " en février - il est donc probable que le moment choisi l’a empêchée de devenir un appareil encastré.

L'autre raison possible est que l'équipe qui a développé le framework MVC a vraiment mis toute la puissance entre les mains des développeurs. Vous pouvez utiliser autre chose qu'AntiForgeryToken de la même manière que vous pouvez choisir d'utiliser un cadre de test, un cadre de données, etc. différents. Il s'agit d'une nouvelle approche lorsque vous examinez MS, elle vous incite à utiliser ce qu'ils ont fourni. / p>

Answer 2

Je pense que vous ne voudriez pas que ce soit sur des formulaires avec la méthode GET .