1

一般来说，我对表达和 nodejs 很陌生。我想知道如何启用 csrf 保护？问题是对于不同的版本有很多不同的教程，而且它完全不能向后兼容。

我已经尝试了几种方法，但它们似乎不起作用，这就是我现在所拥有的。问题是在我的表单中，csrf 值为空。

应用程序.js

var express = require('express');
var http = require('http');
var path = require('path');
var validator = require('express-validator');
var app = express();

app.configure(function() {
    app.set('port', 3001);
    app.set('views', path.join(__dirname, 'views'));
    app.set('view engine', 'jade');
    app.use(express.favicon());
    app.use(express.logger('dev'));
    app.use(express.json());
    app.use(express.urlencoded());
    app.use(express.methodOverride());
    app.use(express.cookieParser('secret'));
    app.use(express.bodyParser());
    app.use(validator());
    app.use(express.session());
    app.use(express.csrf()); // Okey, I've used this middleware
    app.use(app.router);
    app.use(express.static(path.join(__dirname, 'public')));
    app.use(express.errorHandler());
});

app.get('/', function(req, res) {
    res.render('admin/login');
});

http.createServer(app).listen(app.get('port'), function() {
    console.log('Express server listening on port ' + app.get('port'));
});

admin/login.jade

doctype 5
html
    head
        title= title
    body
        form(method='post', action='/admin')
            input(type='hidden', name='csrf', value=token)
            input(type='text', name='username')
            input(type='password', name='password')
            input(type='submit', value='Login')
4

1 回答 1

5

你需要将生成的令牌存储在 res.locals 对象中以使其可从模板中使用，例如使用另一个中间件，在此示例中，它在每个请求中传递给模板： 

app.use(express.csrf());
app.use(function (req, res, next) {
  res.locals.csrftoken = req.csrfToken();
  next();
});

然后在你的模板中

  div
    form(method="post",action="/login")
      input(type="hidden", name="_csrf", value=csrftoken)
      button(type="submit") Login

我建议您关注 Adam Baldwin，他撰写了关于 node.js 中安全性的电梯安全博客。您可以在他的 repo中找到一个安全的 express 框架。

于 2013-12-06T10:11:22.887 回答