ForbidenError：无效的CSRF令牌，快速js

本文介绍了ForbidenError：无效的CSRF令牌，快速js的处理方法，对大家解决问题具有一定的参考价值，需要的朋友们下面随着小编来一起学习吧！ 问题描述

我试着让csurf起作用，但似乎偶然发现了什么。到目前为止，代码如下所示：

index.ejs

<form method="post" action="/"> <input type="hidden" name="_csrf" value="{{csrfToken}}"> . . </form>

在表单中插入密码和用户名的位置。

app.js

var express = require('express'); var helmet = require('helmet'); var csrf = require('csurf'); var path = require('path'); var favicon = require('serve-favicon'); var flash = require('connect-flash'); var logger = require('morgan'); var cookieParser = require('cookie-parser'); var bodyParser = require('body-parser'); var session = require('express-session'); var routes = require('./routes/index'); var users = require('./routes/users'); var profile = require('./routes/profile'); var app = express(); // view engine setup app.set('views', path.join(__dirname, 'views')); app.set('view engine', 'ejs'); // uncomment after placing your favicon in /public //app.use(favicon(path.join(__dirname, 'public', 'favicon.ico'))); app.use(logger('dev')); //Security shyts app.use(helmet()); app.use(helmet.xssFilter({ setOnOldIE: true })); app.use(helmet.frameguard('deny')); app.use(helmet.hsts({maxAge: 7776000000, includeSubdomains: true})); app.use(helmet.hidePoweredBy()); app.use(helmet.ieNoOpen()); app.use(helmet.noSniff()); app.use(helmet.noCache()); // rest of USE app.use(logger('dev')); app.use(bodyParser.json()); app.use(bodyParser.urlencoded({ extended: false })); app.use(cookieParser()); app.use(session({secret: 'anystringoftext', saveUninitialized: true, resave: true, httpOnly: true, secure: true})); app.use(csrf()); // Security, has to be after cookie and session. app.use(flash()); app.use(express.static(path.join(__dirname, 'public'))); app.use('/', routes); app.use('/users', users); app.use('/profile', profile); // catch 404 and forward to error handler app.use(function (req, res, next) { res.cookie('XSRF-TOKEN', req.csrfToken()); res.locals.csrftoken = req.csrfToken(); next(); }) //app.use(function(req, res, next) { // var err = new Error('Not Found'); // err.status = 404; // next(err); //}); // error handlers // development error handler // will print stacktrace if (app.get('env') === 'development') { app.use(function(err, req, res, next) { res.status(err.status || 500); res.render('error', { message: err.message, error: err }); }); } // production error handler // no stacktraces leaked to user app.use(function(err, req, res, next) { res.status(err.status || 500); res.render('error', { message: err.message, error: {} }); }); module.exports = app;

我将CSRF放在会话和Cookie解析器之后的位置。

index.js

/* GET home page. */ router.get('/', function(req, res, next) { res.render('index', { title: 'some title',message: '' }); }); router.post('/',function(req,res){ // Where I have a bunch of mysql queries to check passwords and usernames where as if they succeed they get: res.redirect('profile'); // Else: res.redirect('/'); });

提交表单后得到的结果，无论我是否输入了正确的用户名和密码，我仍然收到相同的错误：

invalid csrf token 403 ForbiddenError: invalid csrf token

我还想补充说，我已经使用Node大约2周了，所以我可能还有很多需要学习的地方。

推荐答案

{{csrfToken}}不是EJS构造，所以它根本不会展开，可能会按字面意思发送到您的服务器。

这样应该能更好地工作：

<input type="hidden" name="_csrf" value="<%= csrfToken %>">

中间件正在设置csrftoken，小写‘t’，其中模板需要大写‘T’：

res.locals.csrftoken = req.csrfToken(); // change to `res.locals.csrfToken` 您还会生成两个不同的令牌，这可能不是您想要的。将令牌存储在变量中并重复使用：

app.use(function (req, res, next) { var token = req.csrfToken(); res.cookie('XSRF-TOKEN', token); res.locals.csrfToken = token; next(); });

最后，您可能必须将中间件移到路由声明之前，否则它不会被调用：

app.use(function (req, res, next) { var token = req.csrfToken(); res.cookie('XSRF-TOKEN', token); res.locals.csrfToken = token; next(); }); app.use('/', routes); app.use('/users', users); app.use('/profile', profile);