Question

在我的routes.js文件中，我已经定义了这样的路由：

'PUT /api/v1/entrance/login': { action: 'entrance/login' }, 'POST /api/v1/entrance/signup': { action: 'entrance/signup' }, 'POST /api/v1/entrance/send-password-recovery-email': { action: 'entrance/send-password-recovery-email' }, 'POST /api/v1/entrance/update-password-and-login': { action: 'entrance/update-password-and-login' }, 'POST /api/v1/deliver-contact-form-message': { action: 'deliver-contact-form-message' }, 'POST /api/v1/getEventsForICalUrl': 'IcalController.getEvents',

我刚刚使用了默认生成的代码，并为getEventsForIcalUrl添加了最后一条路由。我在controllers目录中创建了一个IcalController，它有一个动作getEvents，只需渲染一个像这样的json：

module.exports = {


  /**
   * `IcalController.getEvents()`
   */
  getEvents: async function (req, res) {
    console.log("hit here");
    let events = [];
    for (var i = 0; i < 20; i++) {
      events.push({foo: "bar" + i});
    }
    return res.json({
      events: events
    });
  }

};

我的问题是每当我尝试从客户端访问此控制器时，它会给出403禁止错误。当我将路由从POST更改为GET时，它按预期工作（我正在使用来自客户端的路由的正确GET / POST请求）。

不确定是什么打破了。我还检查了日志。它的印刷＆＃34;在这里打＆＃34;当我使用GET时。在我的策略文件中看起来像这样（因为它是生成的。我没有更改它）：

module.exports.policies = {

  '*': 'is-logged-in',

  // Bypass the `is-logged-in` policy for:
  'entrance/*': true,
  'account/logout': true,
  'view-homepage-or-redirect': true,
  'deliver-contact-form-message': true,

};

我的＆＃34;已登录＆＃34;政策文件是这样的：

module.exports = async function (req, res, proceed) {

  // If `req.me` is set, then we know that this request originated
  // from a logged-in user.  So we can safely proceed to the next policy--
  // or, if this is the last policy, the relevant action.
  // > For more about where `req.me` comes from, check out this app's
  // > custom hook (`api/hooks/custom/index.js`).
  console.log("req.me=" + req.me);
  if (req.me) {
    return proceed();
  }

  //--•
  // Otherwise, this request did not come from a logged-in user.
  return res.unauthorized();

};

我只是把console.log放在这个文件中。其他人就像默认情况下从sails new生成一样。

日志显示使用POST，这个也没有被击中。（我没有看到＆＃34; req.me =＆＃34; ..在console.logs中。）但是这个在使用时被点击GET。

似乎该路由不适用于POST请求。我想知道它本身是一个错误，或者我做错了什么。

Answer 1

至少有两种方法可以解决这个问题可能你正在使用csrf。如果你这样做，你的配置可能包括：

module.exports.security = { // With Sails <1.01 this probably is in another file
    csrf: true
};

并且（如果你使用的是风帆v1.01），你应该有这条路线：

'GET /csrfToken': { action: 'security/grant-csrf-token' },

因此，要获取前端的数据，您只需：

function get_some_records(object_with_data) {
  $.get("/csrfToken", function (data, jwres) {
    if (jwres != 'success') { return false; }
    msg = {
      some_data: object_with_data,
      _csrf: data._csrf
    };
    $.post("get_some_records", msg, function(data, status){});
  });
}

但是如果你正在使用一些后台工作，Sails不会轻易给你csrf（可能有一些方法）。所以，你只需创建一个这样的路线：

 'post /get_some_records': {
     action: 'home/get_some_records',
     csrf: false
  }

Answer 2

您可能使用Rest客户端进行测试（例如Postman）。只需禁用csrf保护。在/config/security.js文件中

csrf: false

Sails 1.0 POST路由给出了403错误

2 个答案: