什么是 CSRF 攻击？
CSRF（Cross-site request forgery）跨站请求伪造是一种网络攻击方式，攻击者通过盗取用户的身份信息，伪造用户的请求，从而让服务器执行非法操作。由于攻击者并没有获取到用户的账号和密码等敏感信息，因此 CSRF 攻击是一种被动的攻击方式，用户难以感知。
Express.js 中的 CSRF 攻击
Express.js 是一种流行的 Node.js Web 应用框架，它提供了丰富的中间件和插件，包括插件来防范 CSRF 攻击。通常情况下，Express.js 的中间件机制可以很好的处理 CSRF 攻击问题，但是需要程序员手动启用相关插件。否则，如果应用程序中存在 CSRF 漏洞，攻击者可以利用这个漏洞集中攻击，使大量用户数据受到泄漏、破坏等风险。
因此，在使用 Express.js 编写 Web 应用程序时，我们必须注意防范 CSRF 攻击，以下是一些解决 Express.js CSRF 攻击的方案：
解决方案
1. 测试应用程序的脆弱性
在服务器上运行应用程序之前，最好对其进行脆弱性分析和测试。这将有助于发现应用程序中的 CSRF 漏洞和其他 Web 安全漏洞。市场上也有一些 CSRF 攻击测试工具，比如 OWASP CSRFTester，它可以帮助你专门测试 CSRF 攻击漏洞。在测试之后，可以考虑使用一些表单安全解决方案，以避免 CSRF 攻击。
2. 使用 CSRF 中间件
Express.js 提供了 csurf 中间件，该中间件通过生成唯一的 CSRF 令牌来预防 CSRF 攻击。需要注意的是，被保护的路由必须需要导入 csurf 并使用它的中间件。
-- -------------------- ---- ------- ----- ---- - ----------------- ----- ------- - ------------------- ----- --- - ---------- ------------------------------------- --------- --------------------- -------- ------------ ----- ---- -- - -------------------- ----------- ------------------ --- ------------------------- ----- ---- -- - ----------------- --- ---------- --- ----- -------------------- --- -----------------
在上述代码中，我们在路由中添加了 csurf 中间件，并使用 res.render() 将生成的 CSRF 令牌传递到视图层。在提交表单时，客户端还必须发送名为 _csrf 的隐藏输入域。使用 csurf 中间件保护的表单将要求客户端在提交数据时包含 CSRF 令牌，以确保仅允许与目标站点交互的客户端可以访问应用程序。这样，攻击者就无法伪造表单，从而避免了 CSRF 攻击。
3. 使用 CSRF Token 校验
生成的验证码应该保存在服务器和客户端，一般来说应该通过 cookie 的方式存储在客户端，以避免信息被攻击者窃取。对于服务器保存的令牌，应该通过这个令牌来校验接下来所有来自客户端的请求。该校验可以在中间件中实现，如：
const token = req.body.token || req.query.token || req.headers['x-csrf-token'];
在这个例子中，如果用户提供了 token，我们只是检查它是否与服务器生成的 token 相接近。如果检查失败，我们可以防止请求通过或向客户端发出警告。
总结
当你使用 Express.js 编写 Web 应用程序时，必须注意防范 CSRF 攻击，否则将可能遭受大量的攻击和数据泄露风险。上述方法有助于开发人员实现应用程序的更高安全性，涵盖测试应用程序的脆弱性、使用 CSRF Token 生成和检查等步骤。你可以在实际应用程序中使用这些措施，在不影响应用程序性能的同时确保了应用程序的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/646bbf87968c7c53b0af1ed7