跨站点请求伪造（CSRF）是一种常见的网络攻击方法，主要目的是利用受害者在已登录的情况下对应用程序发起未经授权的请求，从而实现攻击目标。对于 Hapi 应用程序而言，如何处理 CSRF 是一个重要的任务，因为安全问题可能导致应用程序被攻破。
CSRF 的原理
CSRF 技术的基本原理如下：
- 攻击者创建一个恶意站点，提示用户输入表单内容或继续进行其他操作。
- 用户在未注销或关闭当前登录用户的情况下，访问了恶意站点，可以是点击了邮件中的链接、广告，或者在搜索引擎中搜索恶意内容等。
- 恶意站点向被攻击的网站发送包含 XSS 代码的请求。这些代码会被解释并执行，导致一些恶意操作。
- 被攻击的网站无法区分这个请求是由用户发起还是攻击者发起。
防范措施
对于 Hapi 应用程序，可以采用以下措施，根据不同的场景，防范 CSRF 攻击。
使用 CSRF-Token
可以在每次提交表单时，生成一个随机的字符串（CSRF-Token），放在表单中的隐藏输入框中。当提交请求的时候，将这个 Token 一同发送到服务器端。服务器接收到请求时，验证 Token 是否合法，如果不合法直接驳回请求。
在 Hapi 应用程序中实现如下：
-- ---
----- ---- - ----------------------
----- ------- - ------------------------
----- ----- - -----------------------
----- ------ - -------------
----- -----
----- -----------
---
----- ----- - ----- -- -- -
----- -----------------
--------
-----
---
--------------
-------- -
----- ---------------------
--
----------- ----------
----- ----------
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ --------------- -
------ ----------- -----
---
-
---
--------------
------- -------
----- ----
-------- -
--------- -
-------- -
------ -----------------------
--
----------- ----- --------- -- ------ -- -
----- -------------------- -------------
-
-
--
-------- --------- -- -- -
------ ----- ------------
-
---
----- ---------------
------------------- ------- -- ---- -----------------
--
----------------- -- -
-------------------
----------------
---
-- ------- ------ ---
---------------------------- -
---------------------- ----------- -
-------------------
----- ---- - -
------ ----------------------
--
--------
----- -------
---- ----
----- -----
-------- ---------- -
----------- -------------
--
------ ---------- -
----------- -------------
-
---
---
---
添加 Referer 验证
对于凡事有这种情况的应用程序，可以检查请求的 Referer 是否存在。Referer 是一个 HTTP 请求头，包含了该 HTTP 请求的来源网址，如果是从本站发起的请求，则 Referer 的状态码为200，否则为403.
在 Hapi 应用程序中实现如下：
-- ---
----- ---- - ----------------------
----- ------- - ------------------------
----- ----- - -----------------------
----- ------ - -------------
----- -----
----- -----------
---
----- ----- - ----- -- -- -
----- -----------------
--------
-----
---
--------------
-------- -
----- ---------------------
--
----------- ----------
----- ----------
---
--------------
------- ------
----- ----
-------- --------- -- -- -
------ --------------- -
------ -------- -- -----
---
-
---
--------------
------- -------
----- ----
------- -
--------- -
-------- ------------
---------- -------------------------------------------------------
-------------
----------- --------- -- ------ -- -
----- ---------------------------
-
-
--
-------- --------- -- -- -
------ -------- -------
-
---
----- ---------------
------------------- ------- -- ---- -----------------
--
----------------- -- -
-------------------
----------------
---
-- ------- ------ ---
---------------------------- -
---------------------- ----------- -
-------------------
--------
----- -------
---- ----
-------- ---------- -
-------------- --------
--
------ ---------- -
-------------- --------
-
---
---
---
总结
本文从 CSRF 技术的基本原理、防范措施入手，结合 Hapi 框架，介绍了如何在应用程序中处理 CSRF 攻击。CSRF 是一种比较危险的网络攻击，当应用程序存在 CSRF 待解决的问题时，攻击者可以攻击到敏感信息，并对其进行操作。因此，在管理 Hapi 应用程序时，需要考虑代码的安全性。
来源：JavaScript中文网 ，转载请联系管理员！ 本文地址：https://www.javascriptcn.com/post/64737750968c7c53b00e5722