Question

新手。我正在使用ExpressJS / Node。这是我的配置内容：

var express = require('express'),
app = express.createServer(),
jade=require('jade');
// Configuration
app.configure(function(){
app.set('views', __dirname + '/views');
app.use(express.logger());
app.use(express.cookieParser());
app.use(express.session({ secret: "secretive secret" }));
app.set('view engine', 'jade');
app.use(express.bodyParser());
app.use(express.methodOverride());
app.use(require('stylus').middleware({ src: __dirname + '/public' }));
app.use(app.router);
app.use(express.static(__dirname + '/public'));
app.use(express.csrf());

我在Express目录中找到了csrf.js，看到它应该生成并分配给req.body._csrf，但我不知道如何访问它。

这是csrf.js代码

module.exports = function csrf(options) {
var options = options || {}
, value = options.value || defaultValue;

return function(req, res, next){
// generate CSRF token
var token = req.session._csrf || (req.session._csrf = utils.uid(24));

// ignore GET (for now)
if ('GET' == req.method) return next();

// determine value
var val = value(req);

// check
if (val != token) return utils.forbidden(res);

next();
}
};

帮助？谢谢！

Answer 1

自3.x以来，动态助手已从Express中删除。

新用法为app.use(express.csrf());，来自Connect。

Answer 2

将令牌添加到动态助手。

app.dynamicHelpers({
  token: function(req, res) {
    return req.session._csrf;
  }
});

在你的玉石模板中引用它。

input(type='hidden', value=token)

来源：http://senchalabs.github.com/connect/middleware-csrf.html

Answer 3

在 Express 4.x 中删除此中间件。对于Express 4.x，您可以按照以下步骤进行操作

var csrf = require('csurf');
app.use(csrf());

阿!!您需要在csrf和session中间件之后注册cookieParser中间件。

路线内部或Ctrl

res.render('someform', { csrf: req.csrfToken() });

或者您也可以像这样设置局部变量

app.use(function(req, res, next){
  res.locals.csrf = req.csrfToken();
});

然后在视图中

input(type="hidden", name="_csrf", value="#{csrf}")

你完成了!! ：）

Answer 4

如果您还想为您的前端（例如角度）读取CSRF令牌设置安全cookie，您可以这样做：

app.use csrf()

app.use (req, res, next) ->
  res.cookie('XSRF-TOKEN', req.csrfToken(), {secure: true})
next()

如何在Express中生成CSRF令牌？

4 个答案: