C# CSRF attribute 的錯誤追蹤與處理

最近開發網站碰到一個問題，有時候可以登入成功，有時候不行。但明明帳密都是 Google 記憶的，不可能打錯帳號密碼。後來猜想到是 CSRF 認證的問題，由於網站是透過 k8s 建立的，且 replicas: 2。很大可能性是因為拿 token 是跟 A Pod 拿，但登入是跟 B pod 登入，造成 token 無法驗證成功。

想證明這個問題，我們必須去紀錄 Log，由於我們是透過 C# 的 ValidateAntiForgeryToken Attribute 實作 CSRF 的防禦，因此一開始想法是寫一個 ExceptionFilter 去攔截例外。但發現無法攔截 CSRF 的問題。後來找了一段時間發現，CSRF 並不是丟出例外，而是結果回覆 HttpStatusCode 400。查到可實作 IAlwaysRunResultFilter 攔截結果，並判斷是否是 IAntiforgeryValidationFailedResult 的一種。

程式碼如下: 

        public void OnResultExecuting(ResultExecutingContext context)
        {
            if (context.Result is IAntiforgeryValidationFailedResult result)
            {
                // Log here
            }
        }

但是這樣還不夠。還必須要強制關閉客戶端錯誤的轉換才行，這樣才可以精準的把結果視為 IAntiforgeryValidationFailedResult

至於怎麼關閉則是在註冊 MVC 服務的時候設定 Config SuppressMapClientErrors = true 即可。

    services.AddMvc().ConfigureApiBehaviorOptions(options =>
        {
                    options.SuppressMapClientErrors = true;
        });

詳細可以參考 MSDN