Jeton anti-contrefaçon sur la page de connexion

ne pas mettre en œuvre la ASP.NET AntiForgeryToken sur votre page de connexion. Le jeton est basé sur un nom d'utilisateur parmi d'autres critères, et une page de connexion assumer l'attaquant a déjà des informations d'identification d'un système afin d'être en mesure d'exploiter csrf sur cette page.

cependant, vous devez utiliser une forme de protection CSRF sur votre page de connexion-voir https://security.stackexchange.com/a/2126/51772

j'ai écrit une solution complète ici: http://richardcooke.info/keep-users-signed-in-after-asp-net-deploy /

voici le code nécessaire pour appeler dans votre controller votre méthode GET:

private void SetANewRequestVerificationTokenManuallyInCookieAndOnTheForm()
{
    if (Response == null)
        return;

    string cookieToken, formToken;
    AntiForgery.GetTokens(null, out cookieToken, out formToken); 
    SetCookie("__RequestVerificationToken", cookieToken);
    ViewBag.FormToken = formToken;
}

private void SetCookie(string name, string value)
{
   if (Response.Cookies.AllKeys.Contains(name))
       Response.Cookies[name].Value = value;
   else
       Response.Cookies.Add(new HttpCookie(name, value));
}

et code à mettre dans votre vue à la place de Html.AntiForgeryToken():

@if (ViewBag.FormToken != null)
{
    <text><input name="__RequestVerificationToken" type="hidden" value="@ViewBag.FormToken" /></text>
}
else
{
    <text>@Html.AntiForgeryToken()</text>
}