Fastify 中如何防止跨站请求伪造 (CSRF)？-JavaScript中文网-JavaScript教程资源分享门户

推荐答案

在 Fastify 中，可以通过使用 fastify-csrf 插件来防止跨站请求伪造 (CSRF) 攻击。以下是一个简单的实现示例：

// www.javascriptcn.com code example
const fastify = require('fastify')({ logger: true });
const fastifyCsrf = require('fastify-csrf');

// 注册 fastify-csrf 插件
fastify.register(fastifyCsrf);

// 定义一个路由来获取 CSRF token
fastify.get('/csrf-token', async (request, reply) => {
  return { csrfToken: request.csrfToken() };
});

// 定义一个需要 CSRF 保护的路由
fastify.post('/protected', async (request, reply) => {
  return { message: 'CSRF protection passed!' };
});

// 启动服务器
fastify.listen(3000, (err) => {
  if (err) {
    fastify.log.error(err);
    process.exit(1);
  }
});

在这个示例中，fastify-csrf 插件会自动为每个请求生成一个 CSRF token，并将其存储在请求对象中。你可以通过 request.csrfToken() 方法获取这个 token，并将其发送给客户端。客户端在提交表单或发起 POST 请求时，需要将这个 token 包含在请求头或表单数据中，以便服务器验证请求的合法性。

本题详细解读

什么是 CSRF？

跨站请求伪造 (CSRF) 是一种常见的网络攻击方式，攻击者通过伪造用户的请求，利用用户在目标网站上的身份进行恶意操作。为了防止这种攻击，服务器需要验证每个请求是否来自合法的源。

Fastify 中的 CSRF 防护

Fastify 提供了 fastify-csrf 插件来帮助开发者轻松实现 CSRF 防护。该插件会自动为每个请求生成一个唯一的 CSRF token，并将其存储在请求对象中。开发者可以通过 request.csrfToken() 方法获取这个 token，并将其发送给客户端。

实现步骤

安装插件：首先，你需要安装 fastify-csrf 插件。
```
npm install fastify-csrf
```
注册插件：在 Fastify 应用中注册 fastify-csrf 插件。
```
fastify.register(fastifyCsrf);
```
获取 CSRF token：在需要保护的路由中，使用 request.csrfToken() 方法获取 CSRF token，并将其发送给客户端。
```
fastify.get('/csrf-token', async (request, reply) => {
  return { csrfToken: request.csrfToken() };
});
```
验证 CSRF token：在需要保护的路由中，插件会自动验证请求中的 CSRF token。如果验证失败，插件会返回一个错误响应。
```
fastify.post('/protected', async (request, reply) => {
  return { message: 'CSRF protection passed!' };
});
```

注意事项

客户端处理：客户端在提交表单或发起 POST 请求时，需要将 CSRF token 包含在请求头或表单数据中。通常，可以将 token 放在 X-CSRF-Token 请求头中，或者作为表单字段提交。
安全性：确保 CSRF token 在传输过程中是加密的（例如使用 HTTPS），以防止 token 被窃取。

通过以上步骤，你可以在 Fastify 应用中有效地防止 CSRF 攻击。