Express.js 中的 CSRF 攻击及其防范方法

面试官：小伙子，你的代码为什么这么丝滑？

在 Web 开发中，CSRF（Cross-site request forgery，跨站请求伪造）攻击是一种常见的安全问题。攻击者通过让用户在已登录的状态下访问其制作的恶意链接或网页，来窃取用户信息、执行不良操作等。本文将重点介绍 Express.js 中的 CSRF 攻击及其防范方法。

什么是 CSRF 攻击

CSRF 攻击利用了浏览器对 COOKIE 的自动发送特性来伪造请求，以达到攻击的目的。具体来说，攻击者会构造一个伪造的表单，其中带有攻击者需要执行的操作，然后将表单提交到目标网站。因为浏览器在访问站点时会自动携带 COOKIE 信息，攻击者就可以完成伪造请求。

通常，攻击者利用伪造请求的方式执行以下恶意操作：

  1. 以用户的身份向服务器发起一些操作，如发帖、删帖、修改个人信息等。
  2. 利用网站漏洞来窃取用户信息。

Express.js 中的 CSRF 攻击

Express.js 是一个基于 Node.js 平台的 Web 应用程序开发框架。和其他 Web 开发框架一样，Express.js 也存在 CSRF 攻击的风险。当用户在登录状态下访问攻击者构造的网站或点击了攻击者提供的恶意链接之后，攻击者就能以用户的身份向目标服务器发起一些恶意操作。

下面，我们来看一个 Express.js 中的 CSRF 攻击示例。

----- ------- - -------------------
----- --- - ----------

---------------------------- --------- ----- ----

------------ ----- ---- -- -
  ----------
    ----- ------------------ --------------
      ------ ------------- --------- ------------- --
      ------ ------------- ------------- ------------ --
      ------- -------------------------------
    -------
  --
---

--------------------- ----- ---- -- -
  -- --------
  -- ------------------- -
    -------------------------------------
    -------
  -

  -- ----
  ----- - --- ------ - - ---------
  ------------ --------
  ------------------ -----------
---

---------------- -- -- -
  ------------------- -- ------- -- ---- -------
---

在这个示例中，我们模拟了一个转账操作。攻击者可以通过构造以下代码来发起 CSRF 攻击：

----- ---- - -------------------------------
----------- - ---------------------------------
----------- - -------

----- -- - --------------------------------
------- - ---------
------- - -----
-------- - --------------------

----- ------ - --------------------------------
----------- - ---------
----------- - ---------
------------ - -----------

----- ------ - ---------------------------------
----------- - ---------

---------------------
-------------------------
-------------------------

---------------------------

--------------

从上面的代码可以看出，攻击者构造了一个伪造请求，将转账的目标账户设置为攻击者自己的账户，并将转账金额设为足以清空其它用户的余额。当用户访问攻击者构造的网页时，这个伪造请求就会被自动提交，从而实现攻击者的恶意目的。

Express.js 中的 CSRF 防范

为了有效地防范 CSRF 攻击，我们通常使用以下几种方法：

1. 隐藏字段

使用隐藏字段可以有效防止 CSRF 攻击。在表单中添加一个 token 字段，用于存储一个随机的字符串，服务器在收到表单提交后，会通过校验该 token 字段是否合法，来验证该请求是否为合法请求。

----- ------- - -------------------
----- --- - ----------
----- ---- - -----------------

---------------------------- --------- ----- ----
----------------

------------ ----- ---- -- -
  ----- ----- - ----------------
  ----------
    ----- ------------------ --------------
      ------ ------------- ------------ ---------------- --
      ------ ------------- --------- ------------- --
      ------ ------------- ------------- ------------ --
      ------- -------------------------------
    -------
  ---
---

--------------------- ----- ---- -- -
  -- -- ----- ----
  -- ---------------- --- --------------- -
    ----------------------------- --------
    -------
  -

  -- --------
  -- ------------------- -
    -------------------------------------
    -------
  -

  -- ----
  ----- - --- ------ - - ---------
  ------------ --------
  ------------------ -----------
---

---------------- -- -- -
  ------------------- -- ------- -- ---- -------
---

在这个示例中，我们使用了 csurf 中间件来生成一个随机的 token，然后将该 token 添加到表单中。服务器在收到请求时，会通过校验该 token 字段是否合法，来判断该请求是否为合法请求。

2. SameSite 属性

SameSite 属性是一种 Cookie 安全策略，在 Chrome 51 版本之后被支持。该属性可以阻止在跨站请求时，浏览器向目标站点发送 Cookie，从而有效地防止 CSRF 攻击。

----- ------- - -------------------
----- --- - ----------
----- ------------ - -------------------------

------------------------ ----------

------------ ----- ---- -- -
  ------------------ -------- -
    --------- ------
    --------- -----
    ------- ----
  ---
  --------------- ---------
---

---------------- -- -- -
  ------------------- -- ------- -- ---- -------
---

在这个示例中，我们在服务器端设置了一个带有 sameSite: 'lax' 属性的 Cookie，该属性告诉浏览器仅当用户在当前站点进行导航或内部操作时，才允许 Cookie 发送。这样就能有效地防止 CSRF 攻击。

3. 随机数

使用随机数是一种简单而有效的 CSRF 防范方法。在每次请求时，服务器会生成一个随机数并将其添加到表单中，然后在收到请求时，服务器会校验该随机数是否与服务器保存的值一致。

----- ------- - -------------------
----- --- - ----------

---------------------------- --------- ----- ----

----- -------------------- - -- -- -
  ------ ------------------------ - ------
--

------------ ----- ---- -- -
  ----- ------------ - -----------------------
  ------------------------ - -------------
  ----------
    ----- ------------------ --------------
      ------ ------------- --------- ------------- --
      ------ ------------- ------------- ------------ --
      ------ ------------- ------------------- ----------------------- --
      ------- -------------------------------
    -------
  ---
---

--------------------- ----- ---- -- -
  -- --------
  -- ------------------- -
    -------------------------------------
    -------
  -

  -- ---------
  ----- ------------ - -------------------------
  -- ----------------------- -- --------------------- --- ------------------------ -
    ----------------------------- ------ ---------
    -------
  -

  -- ----
  ----- - --- ------ - - ---------
  ------------ --------
  ------------------ -----------
---

---------------- -- -- -
  ------------------- -- ------- -- ---- -------
---

在这个示例中，我们在每个表单中添加了一个随机数，并将该值保存在服务器的 session 中。服务器在收到表单提交时，会通过校验随机数是否合法来判断请求是否为合法请求。由于随机数是每次都不同的，攻击者很难伪造这个值，从而实现 CSRF 攻击。

总结

在本文中，我们介绍了 Express.js 中的 CSRF 攻击及其防范方法。在实际开发中，我们应该使用这些方法来增加应用程序的安全性，提高用户信息的安全保护。

来源：JavaScript中文网 ，转载请联系管理员！ 本文地址：https://www.javascriptcn.com/post/64ec0a7ff6b2d6eab3656679

阅读全文

猜你喜欢

  • 使用 Headless CMS 简化博客网站搭建

    在传统的博客网站搭建模式中，通常需要使用一个完整的 CMS 系统，如 WordPress 或 Joomla 等，它们提供了完整的前端和后端功能，包括用户管理、文章发布、样式自定义等。

    5 小时前
  • Cypress 错误解决：如何解决 No Such Element 错误

    Cypress 是一个基于 JavaScript 的前端自动化测试框架，它可以帮助我们高效地编写和运行自动化测试用例。然而，在使用 Cypress 进行测试的过程中，我们有时会遇到 No Such E...

    5 小时前
  • Mocha 测试中怎么样才能只执行部分测试用例？

    在使用 Mocha 进行测试时，你可能需要只运行部分测试用例而不是全部运行。这可能是因为你的测试套件非常大，或者你想只测试一部分代码。本文将介绍如何在 Mocha 中只执行部分测试用例，并提供一些示例...

    5 小时前
  • IOS 开发：如何优化本地存储

    本地存储是一种在移动应用程序和网站开发中常见的技术，它可以在用户离线时继续提供信息、内容和功能。在 IOS 开发中，使用本地存储的最佳方法是使用内置数据库 SQLite。

    5 小时前
  • TypeScript 中使用 let 和 const 定义变量和常量

    介绍 TypeScript 是一种静态类型检查器，它扩展了 JavaScript 并使其更易于使用和维护。在 TypeScript 中，我们可以使用 let 和 const 来定义变量和常量。

    5 小时前
  • 如何修复 CSS Reset 对滚动条样式的影响？

    在前端开发中，CSS Reset 是一个非常常见的技术。 它的原理是通过将浏览器的默认样式重置为一致的标准，以确保不同浏览器之间的样式相同。 但是 CSS Reset 常常会对浏览器滚动条样式造成影响...

    5 小时前
  • 在 Fastify 中构建 JWT 认证服务器

    引言 JWT（JSON Web Tokens）是一种用于安全交换信息的开放式标准，它可以在多个服务之间传递认证信息。在构建 Web 应用程序时，往往需要在请求和响应之间进行身份验证，JWT 作为一种有...

    5 小时前
  • 如何使用 ES6 中的数组方法简化代码

    如何使用 ES6 中的数组方法简化代码 随着 JavaScript 语言的发展，ES6 中新增的许多数组方法大大简化了开发人员的编程工作。这些方法可以让我们更容易地处理数据和操作数组，同时大大增加了代...

    5 小时前
  • SPA 开发中前后端分离的优缺点及应用实践

    单页应用（Single Page Application，SPA）是一种现代化的 Web 应用程序开发模式，它的一个特点就是前后端分离。本文将介绍 SPA 开发中前后端分离的优缺点，以及如何实践前后端...

    5 小时前
  • 使用 Enzyme + Jest 测试通过 HOC 形式创建的 React 组件

    在 React 中，高阶组件（Higher Order Component，简称 HOC）是一种非常常见的模式，它允许我们将组件逻辑重用在多个组件之间。使用 HOC 可以让我们更好地管理组件间的复杂度...

    5 小时前
  • PM2 与 Docker：构建可伸缩的 Node.js 应用程序

    前言 在开发现代 Web 应用程序时，Node.js 已成为最受欢迎的开发语言之一。Node.js 可以大力发挥其高度可扩展的架构，以构建高性能的 Web 应用程序。

    5 小时前
  • Material Design 中主题颜色的修改与自定义方法

    Material Design 是 Google 在 2014 年发布的一种全新的平面设计语言，旨在提供一个简洁、明晰、具有层次的用户界面设计风格。该设计语言使用明亮的色彩、深入的阴影效果、多种类型的...

    5 小时前
  • CSS Grid 布局问题集锦

    CSS Grid 布局是一种基于网格的布局系统，可以帮助前端开发人员更轻松地构建自适应、灵活且可复用的界面。尽管 CSS Grid 布局越来越普及，但是仍然存在一些问题需要面对和解决。

    5 小时前
  • 在 TailwindCSS 中实现无限滚动加载的技巧

    随着 Web 应用程序的普及，无限滚动加载成为了越来越流行的设计模式。它可以使用户感到更流畅，避免需要单击“下一页”按钮的情况。在 TailwindCSS 中实现无限滚动加载并不难，但是需要了解一些特...

    5 小时前
  • Redux 和 Immutable 数据结构的集成

    Redux 和 Immutable 数据结构的集成 储存和操作状态是前端应用程序的重要组成部分。Redux 和 Immutable 都是流行的前端技术，它们可以帮助处理状态，并提高应用程序的性能。

    5 小时前
  • ECMAScript 2021 和 React：优化性能的新方法

    前言 前端开发涉及到很多复杂的技术，而随着业界不断提升对用户体验的要求，性能优化也成为了前端开发的重点。ECMAScript 2021 和 React 的新功能在性能优化方面提供了一些新的方法，让开发...

    5 小时前
  • 10个ECMAScript 2019的新特性

    ECMAScript是JavaScript的标准规范，每年都会推出新的版本，提供新的特性和语法糖。2019版的ECMAScript已经发布，本篇文章将详细介绍10个新特性，对前端开发有指导意义。

    5 小时前
  • 如何实现无障碍访问依赖动态内容的应用程序？

    随着互联网技术的发展，越来越多的应用程序需要依赖动态内容来提供用户体验，例如 AJAX 加载、单页应用程序等。然而，这些应用程序往往会给残障人士造成访问困难，导致其无法充分利用这些服务。

    5 小时前
  • 构建高可用的 SPA 应用：浏览器兼容解决方案

    单页应用（Single Page Application，SPA）是现代 Web 开发技术的重要组成部分，它可以提供卓越的用户体验和高效的页面加载速度。但是，由于 Web 浏览器市场的多样性，有时候我...

    5 小时前
  • 在 SASS 中使用媒体查询的正确方法

    在SASS中使用媒体查询的正确方法 作为前端开发人员，我们经常需要针对不同的屏幕尺寸和设备类型来优化我们的网页布局和样式。这时候，媒体查询就成了我们必不可少的工具。

    5 小时前

相关推荐