الحماية من التزوير (CSRF)
نظرة عامة
تستخدم Survanta تحقق ASP.NET Core من مكافحة التزوير في إجراءات MVC المتغيرة للحالة والمصادقة بملفات الارتباط عندما تطبق [ValidateAntiForgeryToken]، ومنها عمليات إدارة رموز الوصول الموثقة. أما وحدات تحكم API التي تستخدم مفتاح API أو JWT أو الرمز العام فتعتمد مصادقة غير قائمة على ملفات ارتباط ويُتجاهل فيها التحقق صراحة حيث تم ضبطه.
ما هو هجوم CSRF؟
يقع هجوم تزوير الطلبات عبر المواقع عندما تخدع صفحة ضارة متصفحك لإرسال طلب إلى تطبيق ويب أنت مسجل دخوله بالفعل. نظراً لأن المتصفح يُرسِل تلقائياً ملف تعريف ارتباط الجلسة مع كل طلب، فقد يعامل تطبيق الويب الطلب المزوَّر عن طريق الخطأ على أنه شرعي.
على سبيل المثال، بدون حماية CSRF، يمكن لموقع ضار تضمين نموذج مخفي يقوم، عند زيارتك للصفحة، بإرسال طلب بصمت لتغيير عنوان بريدك الإلكتروني أو حذف حسابك باستخدام جلستك النشطة.
كيف تمنع Survanta هجمات CSRF
تتضمن نماذج MVC المحمية رمز مكافحة التزوير مقترنًا بملف ارتباط مكافحة التزوير الخاص بإطار العمل. كما يضبط المستودع رأس X-CSRF-TOKEN لطلبات JavaScript المدعومة.
عند تقديم نموذج، تتحقق Survanta من أن:
- يشكل رمز الطلب المرسل وملف ارتباط مكافحة التزوير زوجًا صالحًا أنشأه إطار العمل.
- ينطبق التحقق على الإجراء المحمي المقصود؛ وليس إثباتًا عامًا لمصدر المتصفح.
إذا فشل أي من الفحصين — على سبيل المثال، لأن النموذج قُدِّم من موقع ويب مختلف — يُرفَض الطلب ولا يُتخذ أي إجراء. تُعاد استجابة خطأ واضحة.
ما يعنيه ذلك بالنسبة لك
بوصفك مستخدماً لـ Survanta:
- عادة يرسل النموذج المحمي أو JavaScript الخاص بالمشروع الرمز. لا تفترض شمول إجراء دون التحقق من بيانات مكافحة التزوير الوصفية في الخادم.
- إذا رأيت رسالة خطأ تفيد بأن تقديم نموذجك قد رُفِض بسبب توكن غير صالح أو مفقود، فإن السبب الأرجح هو انتهاء صلاحية جلستك. سجّل الخروج ثم أعد تسجيل الدخول وحاول إرسال النموذج مجدداً.
- قد تؤدي إضافة صفحة نموذج إلى المفضلة وإرسالها بعد تأخير طويل إلى ظهور هذا الخطأ لأن جلستك قد تجدّدت. ما عليك سوى إعادة تحميل الصفحة وإعادة الإرسال.
نطاق التغطية
تشمل التغطية المتحققة إجراءات MVC المتغيرة للحالة والمميزة بـ[ValidateAntiForgeryToken]، مثل:
- عمليات تسجيل الدخول والتسجيل والخروج للموقع عندما يطبق الإجراء التحقق
- طلبات الخطط والطلبات المخصصة التي تطبق التحقق
- عمليات إنشاء رموز الوصول وتعديلها وإلغائها وإدارة الرابط وQR
- عمليات إدارة المؤسسة والمنصة التي تطبق التحقق صراحة
تُحدد التغطية من بيانات الإجراء الوصفية؛ ولا تدعي هذه الصفحة حماية كل نموذج أو إجراء في المستودع.
الأسئلة الشائعة
هل تُبطئ حماية CSRF الموقع؟ التحقق فحص اعتيادي في إطار العمل على الخادم. ولا توثق هذه الصفحة ضمان أداء مقاسًا.
هل يمكن لتكامل خارجي تجاوز الحماية من التزوير؟
لا تعتمد مفاتيح API للتكامل وJWT للجوال ومخططات الرموز العامة على ملفات ارتباط لوحة التحكم المحيطة، ويمكن لوحدات تحكم API الخاصة بها استخدام [IgnoreAntiforgeryToken]. وينبغي لعمليات المتصفح المصادقة بملفات الارتباط استخدام حماية مكافحة التزوير المعلنة في الإجراء.
ماذا أفعل إذا استمريت في الحصول على أخطاء الحماية من التزوير؟ تحقق من أن متصفحك يقبل ملفات تعريف الارتباط من نطاق Survanta (ملفات تعريف الارتباط مطلوبة للحفاظ على الجلسة وربط التوكن). إذا استمرت المشكلة، تواصل مع مشرف المؤسسة أو فريق المنصة.