При попытке выхода из системы предоставленный токен защиты от подделки был предназначен для пользователя "XXXX", но текущий пользователь ""

Question

У меня есть приложение MVC 4 и возникают проблемы, когда истекает время сеанса формы, а затем пользователь пытается выйти из системы.

Ex. время ожидания установлено на 5 мин. Пользователь входит в систему. Пользователь ничего не делает в течение 10 минут. Пользователь нажимает на ссылку LogOff. Пользователь получает сообщение об ошибке: "Предоставленный токен защиты от подделки был предназначен для пользователя"XXXX", но текущий пользователь -""."

Затем пользователю нужно было пройти некоторую гимнастику, чтобы обойти это, чтобы он мог повторно войти в систему, а затем снова выйти из системы (выход из системы используется для закрытия своей временной карты на день).

Я думаю, что понимаю, почему это происходит... но не уверен, как это исправить.

РЕДАКТИРОВАТЬ: Почему я думаю, что это происходит потому, что изначально, когда страница загружается, токен AntiForgery генерируется для текущего вошедшего в систему пользователя. Но затем, когда сеанс истекает, и они пытаются перейти на страницу выхода из системы, текущий пользователь "" вместо фактического пользователя. Как таковое существует несоответствие, и ошибка отображается.

Answer 1

На самом деле вы можете справиться с этим с IExceptionFilter, который будет перенаправлен на /Account/Login

public class HandleAntiForgeryError : ActionFilterAttribute, IExceptionFilter
{
    #region IExceptionFilter Members

    public void OnException(ExceptionContext filterContext)
    {
        var exception = filterContext.Exception as HttpAntiForgeryException;
        if (exception != null)
        {
            var routeValues = new RouteValueDictionary();
            routeValues["controller"] = "Account";
            routeValues["action"] = "Login";
            filterContext.Result = new RedirectToRouteResult(routeValues);
            filterContext.ExceptionHandled = true;
        }
    }

    #endregion
}

[HandleAntiForgeryError]
[ValidateAntiForgeryToken]
public ActionResult LogOff() 
{
}

Также вы можете использовать [HandleError(ExceptionType=typeof(HttpAntiForgeryException)...] но это требует customErrors On.

Answer 2

Ответ @cem был действительно полезным для меня, и я добавил небольшое изменение, включив сценарий вызовов ajax с antiforgerytoken и сеансом с истекшим сроком действия.

public void OnException(ExceptionContext filterContext)
{
    var exception = filterContext.Exception as HttpAntiForgeryException;
    if (exception == null) return;

    if (filterContext.HttpContext.Request.IsAjaxRequest())
    {
        filterContext.HttpContext.Response.StatusCode = 403;
        filterContext.ExceptionHandled = true;
    }
    else
    {
        var routeValues = new RouteValueDictionary
        {
            ["controller"] = "Account",
            ["action"] = "Login"
        };
        filterContext.Result = new RedirectToRouteResult(routeValues);
        filterContext.ExceptionHandled = true;
    }
}

... и на стороне клиента вы можете добавить глобальный обработчик ошибок ajax для перенаправления на экран входа в систему...

$.ajaxSetup({
    error: function (x) {
        if (x.status === 403) {
            window.location = "/Account/Login";
        }
    }
});