mvc html.antiforgerytoken,asp.net-core-mvc – Html.AntiForgeryToken()仍然需要？

在ASP.NET .NET4.6 vNext中仍然需要@

Html.AntiForgeryToken()？

表单装饰已更改为

asp-action="Login"

asp-route-returnurl="@ViewBag.ReturnUrl"

method="post"

class="form-horizontal"

role="form">

由此

@using (Html.BeginForm("Login",

"Account",

new { ReturnUrl = ViewBag.ReturnUrl },

FormMethod.Post,

new { @class = "", role = "form" }))

不再包含这个

@Html.AntiForgeryToken()

控制器操作仍然按照预期标记有ValidateAntiForgeryToken属性,但是它来自哪里？自动的？

[HttpPost]

[AllowAnonymous]

[ValidateAntiForgeryToken]

public async Task Login(LoginViewModel model, string returnUrl = null)