如何使用 fastify-csrf 插件防止 CSRF 攻击？-JavaScript中文网-JavaScript教程资源分享门户

推荐答案

// www.javascriptcn.com code example
const fastify = require('fastify')();
const fastifyCsrf = require('fastify-csrf');

// 注册 fastify-csrf 插件
fastify.register(fastifyCsrf);

// 添加路由以生成 CSRF token
fastify.get('/csrf-token', async (request, reply) => {
  return { csrfToken: request.csrfToken() };
});

// 添加受保护的路由
fastify.post('/protected', async (request, reply) => {
  // 请求体中的 CSRF token 会被自动验证
  return { message: 'CSRF token is valid' };
});

// 启动服务器
fastify.listen(3000, (err) => {
  if (err) {
    fastify.log.error(err);
    process.exit(1);
  }
  console.log('Server is running on http://localhost:3000');
});

本题详细解读

什么是 CSRF 攻击？

CSRF（Cross-Site Request Forgery）攻击是一种常见的网络攻击方式，攻击者通过伪造用户的请求，诱使用户在不知情的情况下执行某些操作。例如，攻击者可以伪造一个表单提交请求，导致用户在登录状态下执行了非预期的操作，如转账、修改密码等。

如何使用 fastify-csrf 插件防止 CSRF 攻击？

fastify-csrf 是一个 Fastify 插件，用于防止 CSRF 攻击。它通过生成和验证 CSRF token 来确保请求的合法性。以下是使用 fastify-csrf 插件的步骤：

安装插件：首先需要安装 fastify-csrf 插件。
```
npm install fastify-csrf
```
注册插件：在 Fastify 应用中注册 fastify-csrf 插件。
```
fastify.register(fastifyCsrf);
```
生成 CSRF token：在需要保护的路由中，可以通过 request.csrfToken() 方法生成 CSRF token，并将其返回给客户端。
```
fastify.get('/csrf-token', async (request, reply) => {
  return { csrfToken: request.csrfToken() };
});
```
验证 CSRF token：在受保护的路由中，fastify-csrf 会自动验证请求中的 CSRF token。如果 token 无效，请求将被拒绝。
```
fastify.post('/protected', async (request, reply) => {
  return { message: 'CSRF token is valid' };
});
```

注意事项

客户端处理：客户端在发送 POST 请求时，需要将生成的 CSRF token 包含在请求头或请求体中。通常可以将 token 放在 X-CSRF-Token 请求头中。
安全性：确保 CSRF token 在传输过程中是加密的，以防止被窃取。

通过以上步骤，你可以有效地使用 fastify-csrf 插件来防止 CSRF 攻击，保护你的 Fastify 应用。