什么是 CSRF 攻击？
CSRF（Cross-site request forgery，跨站请求伪造）攻击是一种常见的 Web 攻击方式。攻击者诱导用户在已登录的网站上点击恶意链接或提交表单，从而伪造用户请求，触发对网站的非法操作（如提交表单、修改用户信息、发起转账等）。
要完成 CSRF 攻击，攻击者需要以下几个条件：
- 用户必须已经在目标网站上登录；
- 目标网站存在可以被恶意操作的提交表单或 URL；
- 攻击者必须能够获得并植入 CSRF 攻击代码，通常通过发送钓鱼邮件、在社交平台中发布诱导用户点击的链接等方式实现。
Deno 中的 CSRF 防护
Deno 是一个安全、简洁、高效的运行时，与 Node.js 不同，Deno 内置了多项安全防护措施，其中就包括针对 CSRF 攻击的防护。
使用 Deno 搭建 Web 应用时，需要遵循以下几个原则来防范 CSRF 攻击：
1. 添加 CSRF Token
CSRF Token 是一种防止 CSRF 攻击的常用方法，在表单提交和链接中插入 Token，以验证请求的合法性。Deno 提供了 op_crypto.randomBytes() 方法来生成符合随机的 Token，可以将 Token 存储在 Cookie 或 Session 中，或者直接作为请求参数传递。在接收表单或链接请求时，需要验证 Token 是否匹配，若不匹配则认定该请求为非法请求，拒绝处理。
以下是一个使用 CSRF Token 防护的示例代码：
-- -------------------- ---- -------
------ - ------------ ------ - ---- ---------------------------------
----- --- - --- --------------
----- ------ - --- ---------
------------------------ ----- ----- -- -
----- ------- - ------------
----- ---- - ----- -------------- ----- ------ ---------
----- --------- - ---------------------------------
-- --------------- --- ---------- -
-------------- -------- ---------
-
-- ------
---
------------- ----- ----- -- -
----- --------- - ---------------------------- -- --------------------
---------------------------- -----------
----- -------
---
-------------------------
----- ------------ ----- ---- ---2. 启用 CORS 验证
Deno 默认启用 CORS（跨域资源共享）验证，只允许同一域名的请求访问。这样可以防止攻击者通过其他域名来进行 CSRF 攻击，增加攻击的难度。
以下是启用 CORS 验证的示例代码：
-- -------------------- ---- -------
------------- ----- ----- -- -
------------------------------------------------------- ----------------------
-------------------------------------------------------- ----- ----- ---- ---------
-------------------------------------------------------- -----------------
------------------------------------------------------------ --------
-- ------------------- --- ---------- -
------------------- - ----
-------
-
----- -------
---3. 验证 Referer
Referer 是 HTTP 请求头中的一个属性，用来表示当前请求是从哪个链接过来的。在 Web 应用中，可以通过验证 Referer 来判断请求的合法性。根据 RFC7231 规定，如果 Referer 为空或者不能从当前页面跳转到指定链接，则该请求只能被认定为是攻击请求，应该予以拒绝处理。
以下是验证 Referer 的示例代码：
-- -------------------- ---- -------
------------- ----- ----- -- -
----- ------- - -----------------------------------
-- --------- -- --- ------------------- --- --------------------- -
-------------- -------- -----------
-
----- -------
---总结
本文介绍了 Deno 中如何防范 CSRF 攻击，主要包括添加 CSRF Token、启用 CORS 验证、验证 Referer 等方法。这些防护措施可以有效地提高 Web 应用的安全性，避免因 CSRF 攻击带来的严重后果。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6482f16d48841e989424ebd9