CSRF（跨站请求伪造）攻击是一种常见的网络攻击方式，攻击者通过伪造用户的请求，使得用户在不知情的情况下执行了攻击者想要的操作。为了防范 CSRF 攻击，我们可以使用 Fastify 框架提供的一些安全机制。
CSRF 攻击的原理
CSRF 攻击的原理是攻击者通过伪造用户的请求，让用户在不知情的情况下执行攻击者想要的操作。攻击者通常会在一个网站上嵌入恶意代码，这个代码会向另一个网站发送请求，并携带着用户的身份信息。如果用户已经在第二个网站上登录过了，那么这个请求就会被认为是合法的请求，从而执行攻击者想要的操作。
防范 CSRF 攻击的方法
使用 CSRF Token
使用 CSRF Token 是防范 CSRF 攻击的常用方法。在用户发送请求之前，服务器会生成一个随机的 Token，将这个 Token 写入到用户的 Cookie 中，并将这个 Token 返回给用户。当用户发送请求时，这个 Token 会随着请求一起发送到服务器端。服务器端会验证这个 Token 是否合法，如果不合法就拒绝请求。
下面是一个使用 CSRF Token 的示例代码：
-- -------------------- ---- -------
----- ------- - --------------------
----------------------------------------- -
------- ----
--
---------------- ----- --------- ------ -- -
----- ----- - -------------------
------------------------------
----- ------------- -----------------
------ ------------- ------------ -----------------
------ ----------- ----------------
------ --------------- ----------------
------- -----------------------------
-------
--
--
----------------------- ----- --------- ------ -- -
----- --------- - ------------------
-- -------------------------------- -
----------------------------- ---- -------
------
-
-- ------ ---- ----------
--
-------------------- ----- -------- -- -
-- ----- ----- ---
------------------- --------- -- ------------
--使用 SameSite Cookie
另外一个防范 CSRF 攻击的方法是使用 SameSite Cookie。SameSite Cookie 是指在 Cookie 中设置一个 SameSite 属性，这个属性可以让浏览器限制第三方 Cookie 的使用。当设置为 Strict 时，浏览器会禁止第三方 Cookie 的使用；当设置为 Lax 时，浏览器只允许 GET 请求中的第三方 Cookie 使用。
下面是一个使用 SameSite Cookie 的示例代码：
-- -------------------- ---- -------
----- ------- - --------------------
---------------- ----- --------- ------ -- -
--------------------------- ---------- - --------- -------- --
------------------------------
----- ------------- -----------------
------ ----------- ----------------
------ --------------- ----------------
------- -----------------------------
-------
--
--
----------------------- ----- --------- ------ -- -
----- -------- - ---------------------
----- -------- - ---------------------
-- ------ ---- ----------
--
-------------------- ----- -------- -- -
-- ----- ----- ---
------------------- --------- -- ------------
--总结
在本文中，我们介绍了如何使用 Fastify 框架提供的一些安全机制防范 CSRF 攻击。使用 CSRF Token 和 SameSite Cookie 是防范 CSRF 攻击的常用方法。尽管这些方法并不能完全防止 CSRF 攻击，但是它们可以大大降低 CSRF 攻击的风险。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/650e841595b1f8cacd7a3815