什么是 CSRF 攻击
CSRF（Cross-Site Request Forgery）跨站请求伪造攻击，是一种常见的网络攻击方式，攻击者通过伪造用户请求，实现对用户的非法操作。攻击者通常会在受害者访问恶意网站时，将伪造的请求发送到受害者已登录的网站，从而实现攻击。
CSRF 防御的原理
CSRF 攻击的本质是利用了用户在已登录网站的情况下，浏览器自动发送 Cookie 的功能。因此，防御 CSRF 攻击的关键是在请求中加入一些验证信息，以确保请求是合法的。常用的 CSRF 防御方式包括：
- 验证请求来源：通过验证请求的来源网站，确保请求是合法的。
- 随机 Token：在用户登录时，生成一个随机的 Token，将 Token 存储在服务端和客户端，每次请求时在请求中带上 Token，服务端验证 Token 是否合法。
在 Fastify 中实现 CSRF 防御
Fastify 是一个高效、低开销的 Web 框架，支持异步编程和路由注册。在 Fastify 中实现 CSRF 防御，需要在请求中加入随机 Token，并在服务端进行验证。
生成 CSRF Token
在 Fastify 中，可以使用 fastify-csrf 插件生成 CSRF Token。首先，需要安装 fastify-csrf 插件：
--- ------- ------------
然后，在 Fastify 的启动代码中注册 fastify-csrf 插件：
----- ------- - -------------------- ----------------------------------------- - -------------- ------------------ ------------------ ------------ ------- -- ------ ---- --
在插件注册时，需要指定 sessionPlugin、sessionCookieName 和 secret。其中，sessionPlugin 指定了存储 CSRF Token 的 session 插件，sessionCookieName 指定了 session 的 Cookie 名称，secret 是用于生成 CSRF Token 的密钥。
发送 CSRF Token
在使用 Fastify 发送请求时，需要在请求中加入 CSRF Token。可以通过 fastify-csrf 插件提供的 getToken 方法获取 Token：
----- ----- - ----------------------------------
然后，在请求中加入 Token：
----- ------- - - --------------- ----- - ----- -------- - ----- ---------------- ------- ------- ---- ------------ -------- -------- - ----- ------- - --
在请求中加入 X-CSRF-Token 头部，将 Token 作为值传递。
验证 CSRF Token
在服务端，需要对请求中的 Token 进行验证。可以使用 fastify-csrf 插件提供的 verifyToken 方法：
-------------------------------- ----- --------- ------ -- -
--- -
----- -------------------------------------
- ----- ----- -
---------------------- ------ -------- ---- ------ --
-
--在请求处理之前，添加 preValidation 钩子函数，对请求中的 Token 进行验证。如果 Token 无效，返回 403 错误。
示例代码
----- ------- - --------------------
----------------------------------------- -
-------------- ------------------
------------------ ------------
------- -- ------ ----
--
-------------------------------- ----- --------- ------ -- -
--- -
----- -------------------------------------
- ----- ----- -
---------------------- ------ -------- ---- ------ --
-
--
------------------------- ----- --------- ------ -- -
----- - ---- - - ------------
----- ---- - ----- ----------------
----------------
--
----- -------- ---------------- -
-- ------ ---- -----
-
-------------------- ----- -- -
-- ----- -
------------------
---------------
-
------------------- --------- -- ---- ------
--总结
CSRF 攻击是一种常见的网络攻击方式，可以通过在请求中加入随机 Token，防止 CSRF 攻击。在 Fastify 中，可以使用 fastify-csrf 插件生成和验证 CSRF Token，确保请求的合法性。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/65efca652b3ccec22f912416