AJAX POST到Web API控制器和CSRF

我基本上需要在我的Web API Controller中防止跨站请求伪造，这是MVC应用程序的一部分。我对任何想法都持开放态度。目前，我有一个MVC视图，使用ArcGIS for JavaScript API显示Esri地图。用户在地图上创建了一条路线，这条路线和它所穿越的各种要素可以通过AJAX POST保存。视图没有表单。这是因为我POST到服务器的所有数据都保存在内存中，不可见于屏幕上（或隐藏字段中）。\n所以，在我的MVC视图中，我有以下内容来获取防伪令牌：\n@functions{\npublic string GetTokenHeaderValue()\n{\n string cookieToken, formToken;\n AntiForgery.GetTokens(null, out cookieToken, out formToken);\n return cookieToken + \":\" + formToken;\n}\n}\n我在视图中有一个隐藏的输入框，但是意识到这是不好的，因为它同时具有与AntiForgery.Validation一起使用的“表单令牌”和cookie令牌：\n\n然后，在一个独立的JavaScript文件中（不是在视图中的脚本标签中），我对我的Web API Controller进行了Http POST。这是我将令牌添加到请求头的地方：\nvar headers = {};\nheaders[\'RequestVerificationToken\'] = $(\"#antiforgeryToken\").val();\n// Ajax POST to Web API Controller\n$.ajax({\n async: true,\n url: \'/api/RouteData\',\n type: \'POST\',\n headers: headers,\n data: requestData,\n dataType: \'json\',\n error: function (xhr, statusText, errorThrown) {\n console.log(\'Error saving route data! \' + errorThrown);\n },\n success: function (result) {\n }\n});\n注意：在请求体中进行POST的数据都保存在一个自定义的Dojo小部件中的内存中（因为页面使用ArcGIS for JavaScript显示Esri地图）。页面上没有表单，因为用户不输入数据。\n在服务器端的Web API Controller中将所有内容绑定在一起：\n[System.Web.Http.HttpPost]\n[ResponseType(typeof(RouteData))]\npublic async Task PostRouteData(RouteDataViewModel routeDataVM)\n{\n try\n {\n HttpRequestMessage httpRequestMessage = HttpContext.Current.Items[\"MS_HttpRequestMessage\"] as HttpRequestMessage;\n ValidateRequestHeader(httpRequestMessage);\n }\n catch (Exception ex)\n {\n _logger.Log(LogLevel.Error, ex, ex.Message);\n throw;\n }\n // 现在我们知道用户是他们自己说的那个人，执行更新操作\n}\nvoid ValidateRequestHeader(HttpRequestMessage request)\n{\n string cookieToken = \"\";\n string formToken = \"\";\n IEnumerable tokenHeaders;\n if (request.Headers.TryGetValues(\"RequestVerificationToken\", out tokenHeaders))\n {\n string[] tokens = tokenHeaders.First().Split(\':\');\n if (tokens.Length == 2)\n {\n cookieToken = tokens[0].Trim();\n formToken = tokens[1].Trim();\n }\n }\n AntiForgery.Validate(cookieToken, formToken);\n}\nAntiForgery.Validate是用于验证令牌的方法。\n我看到了这个【SO post】，给了我一些想法，但对我来说并没有完全解决问题。这个【post on ASP.net】也非常值得赞赏。\n对我来说不同的是（我想），我的JavaScript位于一个单独的文件中，无法调用服务器端的Razor函数来获取防伪令牌，对吗？有什么办法在没有表单的情况下防止CSRF？