什么是 CSRF
CSRF（Cross-Site Request Forgery），中文名为跨站请求伪造，是一种常见的网络攻击方式。攻击者通过构造恶意网站或者邮件，诱骗用户在已登录的网站上执行某些操作，从而达到攻击的目的。CSRF 攻击主要利用了浏览器缺少对请求来源的验证机制，因此攻击者可以在用户不知情的情况下，发起伪造的请求。
Fastify 中的 CSRF 问题
Fastify 是一个快速、低开销、可扩展的 Node.js Web 框架。虽然 Fastify 本身没有提供 CSRF 防御机制，但是可以通过集成第三方插件来实现。
在 Fastify 中，由于默认情况下不会验证请求来源，如果我们不做任何防范措施，就容易受到 CSRF 攻击。攻击者可以通过构造伪造请求，让用户在已登录的网站上执行某些操作，比如修改密码、发表评论等。
如何在 Fastify 中防范 CSRF 攻击
为了防范 CSRF 攻击，我们可以使用第三方插件 fastify-csrf，该插件可以自动为每个请求添加 CSRF 令牌，并且验证请求中的令牌是否正确，从而防止 CSRF 攻击。
下面是一个使用 fastify-csrf 防范 CSRF 攻击的示例代码：
-- -------------------- ---- -------
----- ------- - --------------------
----------------------------------------- -
------------------ ------------------
----------- - ------- ---- -
--
-------------------------------------------
-------------------------------------------- -
------- -------------------
------- - ------- ---- -
--
---------------- ----- ------ -- -
------------
---------- ---------------
--
--
----------------------- ----- ------ -- -
-- ------------------ -
------------ -------- ----- ----- -- ------ --
- ---- -
------------------------ -------- -------- ---- ------ --
-
--
-------------------- --- -- -
-- ----- -
------------------
---------------
-
------------------- ------- -- ---- ------
--在上面的代码中，我们首先注册了 fastify-csrf 插件，并配置了 sessionPluginName 和 cookieOpts 选项。然后，我们在路由中使用 req.csrfToken() 方法获取 CSRF 令牌，并将其发送给客户端。在提交表单时，我们使用 req.csrfVerify() 方法验证请求中的 CSRF 令牌是否正确，从而防止 CSRF 攻击。
总结
CSRF 攻击是一种常见的网络攻击方式，可以通过构造恶意网站或者邮件，诱骗用户在已登录的网站上执行某些操作，从而达到攻击的目的。在 Fastify 中，我们可以使用第三方插件 fastify-csrf 来防御 CSRF 攻击。通过集成 fastify-csrf 插件，我们可以自动为每个请求添加 CSRF 令牌，并验证请求中的令牌是否正确，从而防止 CSRF 攻击。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/65827899d2f5e1655dd94bd8