什么是 CSRF
CSRF（Cross-Site Request Forgery），中文名为跨站请求伪造，是一种常见的网络攻击方式。攻击者通过构造恶意网站或者邮件，诱骗用户在已登录的网站上执行某些操作，从而达到攻击的目的。CSRF 攻击主要利用了浏览器缺少对请求来源的验证机制，因此攻击者可以在用户不知情的情况下，发起伪造的请求。
Fastify 中的 CSRF 问题
Fastify 是一个快速、低开销、可扩展的 Node.js Web 框架。虽然 Fastify 本身没有提供 CSRF 防御机制，但是可以通过集成第三方插件来实现。
在 Fastify 中，由于默认情况下不会验证请求来源，如果我们不做任何防范措施，就容易受到 CSRF 攻击。攻击者可以通过构造伪造请求，让用户在已登录的网站上执行某些操作，比如修改密码、发表评论等。
如何在 Fastify 中防范 CSRF 攻击
为了防范 CSRF 攻击，我们可以使用第三方插件 fastify-csrf，该插件可以自动为每个请求添加 CSRF 令牌，并且验证请求中的令牌是否正确，从而防止 CSRF 攻击。
下面是一个使用 fastify-csrf 防范 CSRF 攻击的示例代码：
// javascriptcn.com 代码示例
const fastify = require('fastify')()
fastify.register(require('fastify-csrf'), {
sessionPluginName: 'fastify-session',
cookieOpts: { secure: true }
})
fastify.register(require('fastify-cookie'))
fastify.register(require('fastify-session'), {
secret: 'super-secret-key',
cookie: { secure: true }
})
fastify.get('/', (req, reply) => {
reply.send({
csrfToken: req.csrfToken()
})
})
fastify.post('/submit', (req, reply) => {
if (req.csrfVerify()) {
reply.send({ message: 'CSRF token is valid' })
} else {
reply.status(403).send({ message: 'Invalid CSRF token' })
}
})
fastify.listen(3000, err => {
if (err) {
console.error(err)
process.exit(1)
}
console.log('Server started on port 3000')
})在上面的代码中，我们首先注册了 fastify-csrf 插件，并配置了 sessionPluginName 和 cookieOpts 选项。然后，我们在路由中使用 req.csrfToken() 方法获取 CSRF 令牌，并将其发送给客户端。在提交表单时，我们使用 req.csrfVerify() 方法验证请求中的 CSRF 令牌是否正确，从而防止 CSRF 攻击。
总结
CSRF 攻击是一种常见的网络攻击方式，可以通过构造恶意网站或者邮件，诱骗用户在已登录的网站上执行某些操作，从而达到攻击的目的。在 Fastify 中，我们可以使用第三方插件 fastify-csrf 来防御 CSRF 攻击。通过集成 fastify-csrf 插件，我们可以自动为每个请求添加 CSRF 令牌，并验证请求中的令牌是否正确，从而防止 CSRF 攻击。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/65827899d2f5e1655dd94bd8