Маркер cookie анти-подделки и маркер поля формы не совпадают при использовании WebApi

у меня есть одностраничное приложение (пользователь загружает кучу HTML/JS, а затем делает AJAX - запросы без другого вызова MVC-только через WebAPI). В WebAPI у меня есть следующее:

public sealed class WebApiValidateAntiForgeryTokenAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(
        System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        if (actionContext == null)
        {
            throw new ArgumentNullException(nameof(actionContext));
        }
        if (actionContext.Request.Method.Method == "POST")
        {
            string requestUri = actionContext.Request.RequestUri.AbsoluteUri.ToLower();
            if (uriExclusions.All(s => !requestUri.Contains(s, StringComparison.OrdinalIgnoreCase))) // place some exclusions here if needed
            {
                HttpRequestHeaders headers = actionContext.Request.Headers;

                CookieState tokenCookie = headers
                    .GetCookies()
                    .Select(c => c[AntiForgeryConfig.CookieName]) // __RequestVerificationToken
                    .FirstOrDefault();

                string tokenHeader = string.Empty;
                if (headers.Contains("X-XSRF-Token"))
                {
                    tokenHeader = headers.GetValues("X-XSRF-Token").FirstOrDefault();
                }

                AntiForgery.Validate(!string.IsNullOrEmpty(tokenCookie?.Value) ? tokenCookie.Value : null, tokenHeader);
            }

        }
        base.OnActionExecuting(actionContext); // this is where it throws
    }
}

зарегистрирован в Global.асакс:

    private static void RegisterWebApiFilters(HttpFilterCollection filters)
    {
        filters.Add(new WebApiValidateAntiForgeryTokenAttribute());
        filters.Add(new AddCustomHeaderFilter());
    }

иногда, я вижу The anti-forgery cookie token and form field token do not match ошибка в моих журналах. Когда это происходит, оба tokenCookie.value и tokenHeader не равны нулю.

Clientside, все мои запросы AJAX используют следующее:

beforeSend: function (request) {
     request.setRequestHeader("X-XSRF-Token", $('input[name="__RequestVerificationToken"]').attr("value"););
},

С генерацией бритвы токен один раз на моей странице SPA:

@Html.AntiForgeryToken()

у меня есть ключ моей машины в Интернете.конфиг.

что может быть причиной этого?

обновление Я только что проверил журналы, и я вижу это иногда:

предоставленный токен защиты от подделки был предназначен для пользователя"", но текущий пользователь "someuser@domain.com". несколько секунд назад

это происходит, когда пользователь обновляет свой экземпляр SPA во время входа в систему. Затем спа-центр по какой-то причине опускает их на целевую страницу вместо внутренней страницы (User.Identity.IsAuthenticated is true) - тогда они не могут войти в систему из-за этой ошибки. Освежающий тянет их обратно внутрь. Не уверен, что это значит, но я решил, что больше информации не повредит.

приложение https://security.stackexchange.com/questions/167064/is-csrf-protection-useless-with-ajax/167076#167076