首先解释下/user/Login?hanler=LoginIn这个Url是什么意思,user是我Page下的一个目录,Login是一个页面,LoginIn是页面里面对应的一个方法。这个url的就是把这个请求交给OnPostLoginInAsync()方法处理。至于为什么是LoginIn而不是OnPostLoginInAsync,在文章开头也提到过,这是Rozar的语法限定,不清楚的朋友可以去看下微软的官方文档，写的肯定比我好。。这个代码乍一看，思路很清晰,项目跑起来,走一波看看。

是的,你没看错，响应码400。各种姿势试了半天，就是400,你现在一定想知道，上面的代码有什么问题。那么，上面的代码没有错。原因是，Razor被设计为可以自动防止跨站请求伪造（CSRF / XSRF）攻击。你不必编写任何其他代码。Razor页面中自动包含防伪令牌生成和验证。这里请求失败，是因为POST没有提交AntiForgeryToken。有两种方法可以添加AntiForgeryToken。

在ASP.NET Core MVC 2.0中，FormTagHelper为HTML表单元素注入反伪造令牌。例如，Razor文件中的以下标记将自动生成防伪标记：

明确添加使用 @Html.AntiForgeryToken()

要添加AntiForgeryToken，我们可以使用任何方法。这两种方法都添加了一个隐藏名称的输入类型__RequestVerificationToken。Ajax请求应将请求头中的防伪标记发送到服务器。所以，修改后的Ajax请求看起来像这个样子:

$("#btnLogin").click(function () {
      $.ajax({
        type: "POST",
        url: "/user/Login?handler=LoginIn",
        beforeSend: function (xhr) {
          xhr.setRequestHeader("XSRF-TOKEN",
            $('input:hidden[name="__RequestVerificationToken"]').val());
        },
        data: { UserName: $("#UserName").val(), PassWord: $("#PassWord").val() },
        success: function (response) {
          console.log(response);
        },
        failure: function (response) {
          alert(response);
        }
      });
    });

改良后的代码在发送请求前在请求头中增加了"XSRF-TOKEN"标识,值为表单自动生成的防伪标记。由于“XSRF-TOKEN”是我们自己加的,框架本身不会识别,所以我们需要把这个标记添加到框架：

public void ConfigureServices(IServiceCollection services)
{
  services.AddMvc();
  services.AddAntiforgery(o => o.HeaderName = "XSRF-TOKEN");
}