在 Web 开发中，跨站请求伪造（CSRF）是一种常见的攻击方式。攻击者可以伪装成受信任的用户，向服务器发送恶意请求，改变用户的数据或执行非授权操作。为了解决这个安全问题，Express.js 提供了 CSRF 中间件，让开发者可以轻松地实现防御措施。
CSRF 的攻击原理
CSRF 的攻击原理很简单：攻击者在用户不知情的情况下，向服务器发送恶意请求。攻击者能够利用用户的登录状态、Cookie 或其他认证方式，在用户不知情的情况下执行任意操作。例如，攻击者可以在用户登录的银行网站上执行转账操作，或者在用户登录的社交网站上发帖或加好友。
防御 CSRF 攻击主要有以下几种方式：
- Referer 检查：检查请求来源是否为同一站点。但是 Referer 可被伪造，不能完全防御 CSRF 攻击。
- CSRF Token：为每个用户生成唯一的 Token，加入请求中。由于攻击者无法获取用户的 Token，因此不能进行 CSRF 攻击。
Express.js 的 CSRF 中间件
Express.js 的 CSRF 中间件使用了 CSRF Token 的方式防御 CSRF 攻击。在每个请求中，中间件会为用户生成一个唯一的 Token，并将 Token 写入 Cookie 中。在发起 POST、PUT、DELETE 等修改操作时，中间件会检查请求中的 Token 是否和 Cookie 中的 Token 一致。如果 Token 不一致，则阻止请求，防止 CSRF 攻击。
下面是使用 Express.js 防御 CSRF 攻击的示例代码：
-- -------------------- ---- -------
----- ------- - -------------------
----- ------------ - -------------------------
----- ---- - -----------------
----- --- - ----------
------------------------
-- -- ----- ---
-------------- ------- ---- ----
-- ------
------------ ----- ---- -- -
----- --------- - ----------------
----------
------
------
----------- ------------
-------
------
----- ------------------------ --------------
------ ------------- ------------ ---------------------
------- ---------------------------
-------
-------
-------
---
---
-- -- ---- --
--------------------------- ----- ---- -- -
------------------
---
---------------- -- -- -
------------------- -- ------- -- ---- -------
---在这个示例中，我们使用了 csurf 中间件，并将 { cookie: true } 选项传递给中间件。这个选项表示 csurf 应该从 Cookie 中读取和写入 CSRF Token。我们在 GET 请求中生成 CSRF Token，并将 Token 插入表单中。在 POST 请求中，我们检查请求中的 Token 是否和 Cookie 中的 Token 一致。如果一致，我们允许请求，否则阻止请求。
总结
CSRF 是 Web 应用程序面临的一个常见安全问题。Express.js 的 CSRF 中间件使用 CSRF Token 的方式防御 CSRF 攻击，让开发者可以轻松地实现防御措施。在实际开发中，建议开发者使用 CSRF Token 的方式防御 CSRF 攻击，以保障 Web 应用程序的安全。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64e351fef6b2d6eab3ebbe29