CSRF（Cross-Site Request Forgery）攻击是一种常见的网络安全威胁，它利用用户在已登录的网站中的身份验证信息，发送伪造的请求以执行恶意操作。Express.js 是一个流行的 Node.js Web 应用程序框架，提供了针对 CSRF 攻击的保护机制。在本文中，我们将深入了解 Express 中的 CSRF 防御机制，学习如何在应用程序中实施这种保护措施。
CSRF 攻击的原理
CSRF 攻击利用已经登录的用户的浏览器提交含有恶意操作的请求，这样服务器就无法准确分辨这是合法请求还是攻击请求。攻击者通过在用户浏览器中嵌入恶意代码，通常是通过恶意的链接或伪造的表单来进行攻击，这种恶意代码会伪造用户身份，并在后台执行恶意操作。用户无法识别这些攻击，因为他们在与某个已经登录的网站进行交互，同时这些请求看起来都是与普通的请求一样的。
例如，一个攻击代码可能像这样：
<img src="http://example.com/delete-video?id=1"/>
用户在访问这个页面时会自动向 example.com 发送一个请求来删除 ID 为 1 的视频，如果用户已经登录了 example.com 并且具有足够的权限来执行删除视频操作，那么此请求将成功执行，否则此请求将被服务器拒绝执行。
CSRF 攻击的防御机制
CSRF 攻击的防御机制的核心思想是确保向服务器发送的每个请求都与用户的身份和意图相对应。为了达到这个目的，我们通常需要使用防御方法，例如：
1、Token 校验：服务器会向客户端浏览器发送一个叫做 Token 的值，这个值通常是一个随机的字符串，保存在用户的会话中。每次浏览器想要发送请求时，这个 Token 值都必须包含在请求中，这样服务器就可以根据这个值来验证请求是否合法。攻击者无法伪造 Token 值，因此无法进行攻击。Token 校验如今广泛应用于很多开源框架和库中，例如 Express 中的 CSRF 防御机制。
2、Referer 校验：服务器会验证每个请求的来源地址，确保请求是从合法的源地址发送过来的，这个来源地址通常是浏览器中的 URL。由于浏览器会自动添加 Referer 头到每个请求中，这个防御方法是相对容易实现的。但是有些浏览器可能禁用了 Referer 头，这将使得这种防御方法失效。
在本文中我们将使用第一种方法，即 Token 校验。在 Express 中，Token 校验的实现非常容易，我们只需要使用 csurf 中间件即可。
在 Express.js 中实施 CSRF 防御机制
要在 Express.js 中实现 CSRF 防御机制，我们需要执行以下步骤：
1、安装 csurf 中间件：
npm install csurf --save
2、引用中间件：
const csrf = require('csurf');
app.use(csrf());3、在表单中添加 CSRF Token：
<form action="/process" method="post">
<input type="hidden" name="_csrf" value="{{csrfToken}}">
<input type="submit" value="Submit">
</form>在这个例子中，我们使用了一个名为 csrfToken 的变量来存储生成的 Token 值。要添加 Token 值，我们使用了一个隐藏的表单字段，它的名称必须为 _csrf。
4、验证请求是否合法：
const csrfProtection = csrf({ cookie: true });
app.get('/process', csrfProtection, function(req, res) {
res.send('Form submitted successfully');
});在这个例子中，我们使用了名为 csrfProtection 的中间件来确保这个请求包含了正确的 _csrf 值。我们需要将这个中间件添加到路由中，就像我们添加常规中间件一样。
到此，我们已经成功实现了 CSRF 防御机制，在客户端浏览器和服务器之间建立了更加安全的通信。
总结
CSRF 攻击是一个很广泛的网络安全威胁，Express.js 中的 csurf 中间件提供了一个简单而有效的防御机制。在本文中，我们深入了解和学习了 CSRF 攻击的原理和防御机制，同时也展示了如何在 Express.js 中实施这样的保护措施。这个中间件保护了我们的应用程序免受 CSRF 攻击带来的威胁，成为了一种必备的工具。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64994b6148841e9894648a84