Почему существует разница в значении cookie validateantiforgerytoken и скрытой форме?

Question

У меня есть атрибут MVC4 [ValidateAntiForgeryToken], который отлично работает. Однако я не понимаю, что я вижу в Fiddler. Куки отправляются сервером в браузер устанавливается на это значение:

__RequestVerificationToken=FVcmfj07ZEuBdjGuqWu14KIzolxr0ArLgvbNdnq0c4DFywxSA31yIHbm2IzgTPMVhMl4STEh2re8oGmwsSjKtSBTolCsmyGGRnLE1qurUqA1 

но скрытая форма ввода устанавливается на это значение:

OxjO3NjS1ly-bqP9RnYK9Vx8ZJyLGVCuTQEuSCAQWofVmuJaRkEcnHAHWcDurXaH6DhUiZ6XY5wCgi70u19mPy9sydMrkuS9qlWMXxGL_401 

т.е. они появляются разные, где они должны совпадать. Я не правильно понимаю файлы cookie, и, возможно, первая строка не является фактическим значением «cookie» в зашифрованном виде?

Answer 1

Pro ASP.NET MVC 3 Framework Источник:

Скрытое поле __RequestVaerificationToken содержит случайную составляющую (соответствие один в куки), но это еще не все. Если пользователь вошел в систему, то значение скрытого поля также будет содержать свое имя пользователя (полученное от HttpContext.User.Identity.Name, а затем зашифрованное).

[ValidateAntiForgeryToken] проверяет, что это соответствует зарегистрированному пользователю. Это добавляет защиту в маловероятном сценарии, когда злоумышленник может каким-то образом писать (но не читать) куки в вашем домене в браузер жертвы и пытается повторно использовать токен, созданный для другого пользователя.