在前端开发过程中，安全性是一个非常重要的问题。在网站开发中，有一个常见的攻击方式叫做“CSRF”，即跨站请求伪造。为了避免这种攻击，我们可以使用 csurf-noroutes 这个 npm 包来保护我们的应用程序。
什么是 csurf-noroutes
csurf-noroutes 是一个基于 Express.js 的 CSRF（跨站请求伪造）保护中间件。它提供了一种简单的方法来防止 CSRF 攻击，并且可以轻松地与任何 Express.js 应用程序集成。
安装 csurf-noroutes
安装 csurf-noroutes 可以通过 npm 进行安装，只需要在终端中运行以下命令：
npm install csurf-noroutes
如何使用 csurf-noroutes
引入 csurf-noroutes
要使用 csurf-noroutes，我们需要先引入它。在 Express.js 应用程序中，我们可以这样做：
const csrf = require('csurf-noroutes')设置中间件
接下来，我们要为我们的应用程序设置中间件。我们可以在定义 Express.js 应用程序实例时，使用 csurf-noroutes 中间件：
app.use(csrf({cookie: true}))这会为我们的应用程序添加一个 CSRF 令牌，并将其存储在 cookie 中。在每个请求中，令牌都会生成一个随机值，这样我们的应用程序就可以识别该请求是否是合法的。
添加 CSRF 令牌到表单中
现在我们的应用程序已经设置了 CSRF 中间件，我们需要将 CSRF 令牌添加到表单中。在 Express.js 中，我们可以使用 csurf-noroutes 自定义标签来方便地添加 CSRF 令牌：
<form method="POST" action="/submit">
<input type="hidden" name="_csrf" value="{{csrfToken}}">
<button type="submit">提交</button>
</form>在上面的代码中，我们使用了 {{csrfToken}} 标签来输出 CSRF 令牌的值，并将其存储在表单的隐藏字段中。
对 CSRF 攻击进行防范
现在我们已经设置了 CSRF 中间件和 CSRF 令牌，我们需要确保我们的应用程序一直处于安全状态。如果发生 CSRF 攻击，我们需要在服务器端将其捕获并处理。
app.use(function (err, req, res, next) {
if (err.code !== 'EBADCSRFTOKEN') return next(err)
// 处理 CSRF 错误
res.status(403)
res.send('CSRF 攻击！')
})在上面的代码中，我们定义了一个用于捕获 CSRF 错误的中间件。如果客户端传递给服务器的 CSRF 令牌无效，则会返回一个 403 错误。
完整示例
下面是一个完整的示例代码，帮助你了解如何使用 csurf-noroutes 来保护你的 Express.js 应用程序：
-- -------------------- ---- ------- ----- ------- - ------------------ ----- ---- - ------------------------- ----- ---------- - ---------------------- ----- --- - --------- -- -- ----------- --- ------------------------------- --------- ----- --- -------------------------- -- -- -------------- --- -------------- ------- ---- --- -- -- ---- ------ ---------------- -------- ----- ---- - ------------------ - ---------- --------------- -- -- -- ---- ---- ------------------- -------- ----- ---- - ------------------- -- -- -- ---- -- ---------------- ----- ---- ---- ----- - -- --------- --- ---------------- ------ --------- -- -- ---- -- --------------- -------------- ----- -- -- ---- ---------------- -------- -- - ----------------------- --
总结
在本文中，我们介绍了如何使用 csurf-noroutes npm 包来保护 Express.js 应用程序免受 CSRF 攻击。通过该 npm 包，我们可以轻松地添加 CSRF 令牌，并捕获和处理 CSRF 错误。希望这篇文章对你有所帮助！
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6005602281e8991b448de4e4