在前端开发中，经常会碰到跨站点请求伪造（CSRF）的问题，尤其是在使用 Express.js 所构建的 Web 应用程序中。CSRF 攻击可以在用户不知情的情况下执行一些危险的操作，如修改用户密码，删除用户信息等，因此需要进行一些防御措施。
本文将介绍在 Express.js 应用程序中解决 CSRF 攻击的方法，并提供示例代码。
什么是 CSRF 攻击
CSRF 攻击是一种 Web 安全漏洞，攻击者将用来执行恶意操作的请求发送到目标站点，通常是在用户访问其它站点时，恶意代码会在浏览器中发出跨站请求，但用户却不知道。攻击者利用了目标站点对于未授权到访者的认同，即认为请求是受信任的。这样一来，攻击者便可以执行一些非法、危险的操作，比如修改用户密码、删除用户信息等。
防御 CSRF 攻击的方法
防止 CSRF 攻击的主要方法是添加 token，在请求中包含一个不能轻易被攻击者猜到的 token 查询参数或请求头。因为攻击者不知道这个 token 的值，所以也就无法构造出合法的请求。
以下是一个完整的 CSRF 防御方案：
- 使用
csurf中间件来生成和验证 token，csurf是一个基于session的中间件，可以自动生成 token，并在每个请求中验证 token。
const csrf = require('csurf');
const csrfProtection = csrf({ cookie: true });
app.use(csrfProtection);- 将 token 添加到页面中，使用
ejs模板引擎进行演示。
app.get('/', (req, res) => {
res.render('index.ejs', { csrfToken: req.csrfToken() });
});-- -------------------- ---- -------
--------- -----
------
------
----- ----------------
----------- ------------
-------
------
----- ---------------- --------------
------ ------------- ------------ ---------- --------- ----
---- ------ ----- - ----- ------- ---
------ ----------- ----------------
------- ---------------------------
-------
-------
-------- 在服务器端验证 token 是否有效。
-- -------------------- ---- -------
------------------- ----- ---- -- -
-- -------------------- -
----- --------- - ----------------
-- --------------- --- ---------- -
-- -------------
- ---- -
-- ----- ------------
-
- ---- -
-- ---------------
-
---总结
CSRF 攻击是一个常见的 Web 安全漏洞，攻击者可以利用它在用户不知情的情况下执行一些非法操作。为了防止 CSRF 攻击，我们可以使用 csurf 中间件来生成和验证 token，并在页面中将 token 添加到请求中。在服务器端，我们需要验证 token 是否有效，只有在 token 是有效的情况下才能处理表单数据。
在开发 Express.js 应用程序时，使用 csurf 中间件是实现 CSRF 防御的一种简单和易于实现的方法。更多关于 Express.js 的学习和资讯，可以阅读 Express.js 的官方文档和社区资料。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/646dfe22968c7c53b0c99eea