首页 > 代码库 > Express 3 implement CSRF protection
Express 3 implement CSRF protection
CSRF(Cross Site Request Forgery)是常見但不顯眼的攻擊方式,本篇不介紹如何使用CSRF攻擊
只有介紹如何透過Express去實作CSRF protection
要實作CSRF protection要開啟一些功能(session, csrf, cookieParser),詳細內容如下
...app.use(express.cookieParser(‘your secret here‘));app.use(express.session());app.use(express.csrf());app.use(app.router);...
透過這樣的設定Express就會幫你產生csrf的token,確保每次Request沒有被偽造
但是只有這樣的宣告並沒有用,還需要把值帶入表單中
而要帶入表單中,需要先把值存在res.locals
裡面,這樣在view
裡面才可以使用
因此要加入下列的程式碼:
// global controllerapp.all(‘/*‘, function(req, res, next) { res.locals.csrf = req.session ? req.csrfToken() : ""; // CSRF next();});
透過上面的程式碼,讓每一頁進入前都會先執行裡面的設定,也就是說把res.locals加入csrf這個變數
而res.locals.csrf
的值來至於 req.csrfToken()
(由Express負責產生
接下來在表單裡面加入一個hidden的值,名稱是「_csrf」完整HTML如下
<input type="hidden" name="_csrf" value="http://www.mamicode.com/">
其中<%= csrf %>
是因為我用EJS,所以使用<%%>輸出變數,csrf
則是在res.locals.csrf
的值
透過這樣的設定 Express 就會幫你做好保護了
如果害怕的話,可以開啟開發者工具把_csrf
的值修改過再送出表單
就會看到 Forbidden 的訊息
Express 3 implement CSRF protection
声明:以上内容来自用户投稿及互联网公开渠道收集整理发布,本网站不拥有所有权,未作人工编辑处理,也不承担相关法律责任,若内容有误或涉及侵权可进行投诉: 投诉/举报 工作人员会在5个工作日内联系你,一经查实,本站将立刻删除涉嫌侵权内容。