随着互联网的普及，Web 应用中涉及到重要的操作越来越多，如银行转账、购买商品等。而 CSRF（Cross-site request forgery）攻击就威胁了这些 Web 应用的安全。Koa2 是一个流行的 Node.js Web 框架，在本文中我们将介绍 Koa2 中的 CSRF 攻击和防御策略。
什么是 CSRF 攻击？
CSRF 攻击是一种跨站请求伪造的攻击方式。攻击者通过构造好的恶意网站或者程序，诱使受害者在登录状态下访问带有攻击性的链接，从而在受害者的计算机上实现非法操作。
一个经典的 CSRF 攻击的实例是银行转账。假设用户在银行网站已经登录并保持了登录状态，攻击者通过构造好的链接，让用户在不知情的情况下进行转账操作。攻击者的服务器构造的链接中包含了一个恶意的 POST 请求，该请求会导致用户向银行进行转账操作。
CSRF 攻击的原理
CSRF 攻击的原理是诱导受害者重新打开一个页面或者在一个页面上执行一些攻击代码。在用户登录到一个网站后，网站通常会在用户的浏览器中保存一些认证信息，如 cookies 或者 session id。在用户访问另一个网站的同时，浏览器也会自动附带上用户的认证信息，这样攻击者就可以利用受害者的身份向第一个网站发起恶意请求。
CSRF 攻击的防御策略
为了防止 CSRF 攻击，常见的策略是让 web 应用程序检查每一个请求的来源，只有来源于当前 web 应用程序的请求才被视为合法请求，否则就视为 CSRF 攻击。下面我们将介绍两种常见的 CSRF 防御策略。
防止 CSRF 攻击的方法 1：使用 CSRF token
在 Koa2 中，可以使用 CSRF 插件生成 CSRF token。CSRF token 是一个随机生成的字符串。在每个 POST 请求中，服务端都会把 CSRF token 作为参数附加在请求中。这样，只有攻击者知道 CSRF token 才能在未授权的情况下向服务器发送请求。
以下是如何在 Koa2 中使用 CSRF 插件：
-- -------------------- ---- ------- ----- --- - -------------- ----- ------ - --------------------- ----- ------- - ------------------- ----- ------- - ---------------------- ----- ---- - ------------------- ----- --- - --- ----- ----- ------ - --- -------- -- -- ---------- ------ ---- -------- -------- - --------- --------------------- -- -- ---- -- ----------- ------- ------------------ ------------------------ --- -- - -- -- ---- ----- -------- - ----------- --------------------------- -- ----------------------- -- ------------------------ ---------------- -- -- - ------------------- -- ------- -- ----------------------- --
客户端的 POST 请求应该包含一个 CSRF token，通过以下代码获取并提交 CSRF token：
-- -------------------- ---- -------
--------- -----
------
------
--------------- -------------
-------
------
----- ------------- ----------------------------------------
------ ------------- ------------ ---------- --------- ----
------ ----------- ------------- ---------------------
------ ----------- --------- -----------------
------ ------------- -----------------
-------
-------
-------防止 CSRF 攻击的方法 2：使用同源检测
对于没有想使用 CSRF token 的 web 应用，可以使用同源检测的方法来防止 CSRF 攻击。同源检测是通过检查请求头中的 Referer 域来实现的。如果请求的 Referer 域和当前网站的域名不一致，表明这个请求来自另一个网站，该请求就可以被认为是 CSRF 攻击。
以下是使用同源检测的代码：
-- -------------------- ---- -------
----- --- - --------------
----- ------ - ---------------------
----- ------- - -------------------
----- ------- - ----------------------
----- --- - --- -----
----- ------ - --- --------
-- -- ---------- ------ ---- --------
-------- - ---------
---------------------
------------------
------------------------ --- -- -
-- ------
----- ------ - -----------------
-- -------- -- ------ --- ------------------------ -
-------- - -------- ---------
------
-
-------- - ----------- --------------------------- -- -----------------------
--
------------------------
---------------- -- -- -
------------------- -- ------- -- -----------------------
--在客户端，同样需要发出包含 Referer 域的 POST 请求：
-- -------------------- ---- -------
--------- -----
------
------
--------------- -------------
-------
------
----- ------------- --------------------------------------- ------------------------------
------ ----------- ------------- ---------------------
------ ----------- --------- -----------------
------ ------------- -----------------
-------
-------
-------结论
在本文中我们介绍了 CSRF 攻击的原理，并阐述了两种常见的防御策略：使用 CSRF token 和使用同源检测。在实际开发中，应该视情况选择适当的策略。无论采用哪种方法，都应该保证访问网站的用户的安全。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66ee94866fbf96019724d35b