Question

我很擅长表达和节点。我想知道如何启用csrf保护？问题是不同版本有很多不同的教程，它们完全没有向后兼容。

我尝试了几种方法，它们似乎不起作用，这就是我现在所拥有的。问题是，在我的表单中，csrf值为空。

app.js

var express = require('express');
var http = require('http');
var path = require('path');
var validator = require('express-validator');
var app = express();

app.configure(function() {
    app.set('port', 3001);
    app.set('views', path.join(__dirname, 'views'));
    app.set('view engine', 'jade');
    app.use(express.favicon());
    app.use(express.logger('dev'));
    app.use(express.json());
    app.use(express.urlencoded());
    app.use(express.methodOverride());
    app.use(express.cookieParser('secret'));
    app.use(express.bodyParser());
    app.use(validator());
    app.use(express.session());
    app.use(express.csrf()); // Okey, I've used this middleware
    app.use(app.router);
    app.use(express.static(path.join(__dirname, 'public')));
    app.use(express.errorHandler());
});

app.get('/', function(req, res) {
    res.render('admin/login');
});

http.createServer(app).listen(app.get('port'), function() {
    console.log('Express server listening on port ' + app.get('port'));
});

系统管理员/ login.jade

doctype 5
html
    head
        title= title
    body
        form(method='post', action='/admin')
            input(type='hidden', name='csrf', value=token)
            input(type='text', name='username')
            input(type='password', name='password')
            input(type='submit', value='Login')

Answer 1

哟需要将生成的令牌存储在res.locals对象中以使其可以从模板中使用，例如使用其他中间件，在此示例中，它会在每个请求中传递给模板：

app.use(express.csrf());
app.use(function (req, res, next) {
  res.locals.csrftoken = req.csrfToken();
  next();
});

然后在你的模板中

  div
    form(method="post",action="/login")
      input(type="hidden", name="_csrf", value=csrftoken)
      button(type="submit") Login

我建议你跟随Adam Baldwin，他在node.js中写了关于安全性的lift security blog 您可以在his repo中找到安全的快速骨架。

如何在express3中启用csrf？

1 个答案: