對於Node.js，是否有可與Ajax協同工作的CSRF令牌模塊？

我使用這個模塊：對於Node.js，是否有可與Ajax協同工作的CSRF令牌模塊？

https://github.com/hanssonlarsson/express-csrf

但它並不適用於AJAX工作。那裏有其他的圖書館嗎？

2011-07-07 TIMEX

注意：我聽說你不需要做任何事情，因爲發送了標題......是嗎？我很喜歡CSRF – TIMEX

我不明白爲什麼這個問題被標記爲「脫離主題」，它看起來是一個很好的問題在SO –

~~Connect中的latest Not Yet Released csrf.js似乎正常工作。這只是一對夫婦改變線，所以你可以手動修補它。~~該修補程序包含在Connect 1.6.2中。

我還沒有使用過「hanssonlarsson」模塊，但看起來這個模塊中的實現選擇是在每次請求檢查時清除csrf標記，這對於簡單的表單/服務器交互來說可以。但是，它不適用於運行來自同一頁面的多個請求的AJAX請求。當前以前發佈連接代碼（1.6.0）重置會話上的每個http請求上的令牌，這也會中斷除最簡單的交互以外的所有操作。

您可能想要了解CSRF的所有內容都在OWASP cheat sheet上。它建議堅持每個會話固定的csrf令牌，這是新的Connect代碼的作用。

請注意，Connect CSRF中間件檢查所有POST請求上的csrf標記，但不檢查GET。所以你應該包含任何AJAX POST請求的令牌，但不包括GET請求。這也符合備忘單的建議。

來源

2011-08-02 17:28:11 mjhm

偉大的信息mj，你能建議如何安裝csrf.js（最新的連接版本）？所以它可以與需求？我嘗試npm和搜索，但沒有運氣。 –

昨天1.6.2 Connect發佈。這應該包含修復程序並可從npm獲得。 – mjhm

對於Node.js，是否有可與Ajax協同工作的CSRF令牌模塊？

回答

相關問題