什么是 CSRF 攻击？
CSRF（Cross-site request forgery，跨站请求伪造）攻击是利用用户已经登录了目标网站的情况下，通过其他网站向目标网站发送恶意请求，以此实现攻击者的目的。这种攻击方式最常见的场景是在用户访问到攻击者网站时，触发恶意请求，造成目标网站数据的窃取、篡改、删除等安全问题。
Fastify-csrf 是什么？
Fastify-csrf 是基于 Fastify 框架实现的防止 CSRF 攻击的插件，使用了随机 token 的方式来避免攻击。它是一个轻量、快速、易使用的插件，可以让你的应用程序更安全。
如何使用 Fastify-csrf 防止 CSRF 攻击？
以下是在 Fastify 中使用 Fastify-csrf 防止 CSRF 攻击的步骤：
第一步：安装 Fastify-csrf 插件
在使用 Fastify-csrf 插件之前，需要先安装它：
npm install fastify-csrf --save
第二步：注册 Fastify-csrf 插件
在应用程序启动时，需要将 Fastify-csrf 插件注册到 Fastify 中：
// javascriptcn.com 代码示例
const fastify = require('fastify')();
fastify.register(require('fastify-csrf'), {
sessionPlugin: 'fastify-cookie',
sessionCookieName: 'sessionId',
csrfCookieName: 'csrfToken',
ignoredMethods: ['GET', 'HEAD', 'OPTIONS'],
enableSetCookie: true,
});上述代码中，我们在 Fastify 中注册了 Fastify-csrf 插件，其中：
sessionPlugin：是 Fastify-csrf 依赖的 session 插件，默认值是fastify-session，也可以根据你的实际使用情况来设置。sessionCookieName：是 session 的 cookie 名称，默认值是sessionId。csrfCookieName：是 csrf token 的 cookie 名称，默认值是csrfToken。ignoredMethods：是一个数组，定义哪些 HTTP 请求方法不需要校验 CSRF Token，默认值是['GET', 'HEAD', 'OPTIONS']。enableSetCookie：是一个布尔值，设置是否在响应中设置 cookie，默认是true。
第三步：在路由处理函数中使用 Fastify-csrf
在需要防止 CSRF 攻击的路由处理函数中，需要加入验证 CSRF Token 的代码。以下是一个示例：
// javascriptcn.com 代码示例
fastify.post('/changeUsername', async (request, reply) => {
const csrfToken = request.csrfToken();
const user = await User.getByUsername(request.session.username);
if (request.body.csrfToken !== csrfToken) {
throw new Error('Invalid CSRF Token');
}
user.changeUsername(request.body.newUsername);
reply.send({
success: true,
});
});上述代码中，我们使用 request.csrfToken() 方法获取存储在 session 中的 CSRF Token，再将它与请求中的 CSRF Token 进行比较。如果两个 Token 不一致，则视为 CSRF 攻击，抛出异常。
总结
Fastify-csrf 是一种可以避免 CSRF 攻击的方式，它是安全的、易于使用的。通过使用它，可以有效地保护应用程序中的数据安全。
以上就是在 Fastify 中使用 Fastify-csrf 防止 CSRF 攻击的方法。希望本文对你有所帮助。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/654314857d4982a6ebcbcf30