CSRF（跨站请求伪造）攻击是一种常见的网络攻击，攻击者会在用户不知情的情况下发起伪造的请求，导致用户的数据被盗取、篡改或删除。因此，了解如何在前端应用程序中进行CSRF防御，是非常重要的。
本文将介绍在使用 Fastify 框架构建 Web 应用程序时如何实现 CSRF 防御。
什么是 CSRF？
在 CSRF 攻击中，攻击者会利用用户已经登录了一个网站的会话来发起伪造的请求。当用户浏览攻击者的网站时，攻击者会在网页中放置恶意脚本，该脚本会向目标网站发起伪造的请求。由于用户的浏览器会自动携带对目标网站的认证信息，攻击者就可以在用户不知情的情况下发起请求。这也可以称为“间接的身份验证攻击”。
要防止 CSRF 攻击，我们必须确保在受保护的页面中，所有请求都来自于同一个应用程序，而不是来自其他不受信任的应用程序或恶意网站。
Fastify 中的 CSRF 防御
Fastify 是用于构建Web应用程序的快速、开放源代码的Node.js网络框架。它提供了多种内置插件和功能，可以帮助我们优雅地构建 web 应用程序。
Fastify 框架提供了一个名为“fastify-csrf”的插件，该插件可以方便地实现 CSRF 防御。该插件提供了一个“csrfProtection”中间件函数，可以在组合 Fastify 路由之前使用。
首先，我们需要安装 Fastify 和 fastify-csrf：
npm install fastify fastify-csrf
然后，在我们的 Fastify 应用程序中，使用 fastify-csrf 插件并启用“csrfProtection”中间件：
-- -------------------- ---- ------- ----- ------- - --------------------- ----- ----------- - ------------------------ ----------------------------- - ------- - --------- ----- ------- ----- ----- ---- --------- ----- ------- ----- -- --- ----------------------------- ------------------------ ---------------- ----- --------- ------ -- - ------ - -------- ------ ------- -- --- -------------------- ----- -------- -- - -- ----- - ------------------- - ---- - ------------------- --------- -- ------------- - ---展开代码
CSRF 防御中间件的原理
“csrfProtection”中间件函数的作用是给每个响应添加一个带有 CSRF 令牌的 cookie。该令牌是通过 crypto.randomBytes 生成的 32 位随机字符串。
在应用程序的受保护页面中，其所有表单都必须包含一个名为“_csrf”的隐藏表单字段。该字段的值应该设置为从 cookie 中获取的 CSRF 令牌值。
提交表单时，服务器将检查隐藏字段中的值是否与 cookie 中的值匹配，以确保该请求来自于同一应用程序。如果值不匹配，服务器将拒绝该请求。
在前端中，我们需要在所有提交表单之前，手动向表单添加一个名为“_csrf”的隐藏字段，其值是从 cookie 中获取的 CSRF 令牌。以下是一个示例：
<form action="/submit-form" method="POST"> <input type="hidden" name="_csrf" value="{{csrfToken}}" /> <!-- 其他表单字段... --> <button type="submit">提交</button> </form>
在这里，{{csrfToken}}应该从 cookie 中获取，以确保表单中包含正确的 CSRF 令牌值。
总结
本文介绍了在 Fastify 应用程序中实现 CSRF 防御的方法。我们使用 fastify-csrf 插件提供的“csrfProtection”中间件，在应用程序的受保护页面中添加 CSRF 令牌。同时，我们在所有提交表单前，手动将该令牌添加到表单的隐藏字段中。这确保了所有请求都来自于同一应用程序，而不是来自于不信任的应用程序或恶意网站。
希望这份文章能帮助你更好地理解和应用 CSRF 防御。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/649a531648841e989473372b
