Se invece di voler proteggere l'intero sito volessi proteggere solo un'Area cosa dovrei aggiungere come filtro?

Come sempre i tuoi articoli sono molto interessanti ... Vorrei, se posso, divagare un po' ed essere rassicurato sulla effettiva protezione dell'attributo Authorize unito a ValidateAntiForgeryToken nelle chiamate POST considerando che faccio un'utilizzo massiccio di $.ajax e $.getJson.
Sono in particolare preoccupato di attacchi XSS e CSRF quando effetuo chiamate Ajax per aggiornare dinamicamente la pagina o salvare alcuni dati nel database... non so se sono stato chiaro.. Grazie per l'attenzione.. Saluti

Grazie ..in effetti in poche righe ho messo in campo una domanda che porta con se un argomento molto vasto e complesso.. Ti ringrazio per il suggerimento dell'utilizzo AntiXSS library che non ho fatto e farò...

Per quanto riguarda invece gli attacchi CSRF il mio dubbio si pone non tanto quando invio i dati tramite una chiama POST dal form ad un controller al quale ho indicato l'attributo AntiForgeryToken, ma nel caso richieda delle operazioni anche di modifica di dati attraverso l'utilizzo ( magari anche all'interno dello stesso form sopramenzionato) di Ajax.

In questo caso, se non erro, l'attributo non può controllare il token quindi è possibile che la stessa chiamata Ajax sia utilizzata in modo malevolo soprattutto se non sono efficacemente protetto da attacchi XSS.

La mia riflessione quindi potrebbe riassumersi:
dando per "certo" che l'attributo AntiForgeryToken sia sicuro c'è un modo di sfruttarlo con le chiamate Ajax?

Grazie ancora....

Saluti
Samuele

Ritorno su qeusto argomento,
filters.Add(new GlobalAuthorize()); basta questo per proteggere tutto il sito ?