asp.net web api 编写防止 CSRF 攻击

CSRF（Cross-site request forgery）攻击是一种常见的网络攻击方式，攻击者利用用户已经登录的身份，在用户不知情的情况下发送恶意请求，从而实现非法操作，例如发邮件、发微博、转账等。

ASP.NET Web API 可以通过以下方式来防止 CSRF 攻击：

1. 验证 HTTP Referer 头部：HTTP Referer 头部记录了请求来源，可以通过验证 Referer 头部来判断请求是否来自合法的页面。在 Web API 中，可以使用 ActionFilterAttribute 来实现这个功能：

public class ValidateRefererAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(HttpActionContext actionContext)
    {
        var referer = actionContext.Request.Headers.Referrer;
        if (referer == null || referer.AbsoluteUri == "")
        {
            actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Forbidden, "Invalid Referer header");
        }
    }
}

2. 使用 AntiForgeryToken：AntiForgeryToken 是一种防止 CSRF 攻击的常见技术，它通过在表单中插入一个随机的 token 来验证请求是否来自合法的页面。在 Web API 中，可以使用 System.Web.Helpers.AntiForgery 类来生成和验证 AntiForgeryToken：

public class ValidateAntiForgeryTokenAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(HttpActionContext actionContext)
    {
        var headers = actionContext.Request.Headers;
        var cookie = headers.GetCookies().FirstOrDefault();
        if (cookie != null)
        {
            var token = headers.GetValues("X-CSRF-Token").FirstOrDefault();
            try
            {
                System.Web.Helpers.AntiForgery.Validate(cookie["CSRF-TOKEN"].Value, token);
            }
            catch (Exception)
            {
                actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Forbidden, "Invalid CSRF token");
            }
        }
        else
        {
            actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Forbidden, "Missing CSRF cookie");
        }
    }
}

在 Web API 中，可以通过在 Action 或 Controller 上应用上述的 ActionFilterAttribute 来实现防止 CSRF 攻击。例如：

[ValidateAntiForgeryToken]
public IHttpActionResult Post([FromBody] MyModel model)
{
    // ...
}