node.js - 以 express 形式提交表单时 CSRF token 不起作用

Question

我正在尝试让表单在我的 Express 应用程序中工作。我有一个将 csrf token req.session._csrf 传递给 res.locals.csrf_token 的中间件函数，因此 View 可以使用它。现在我正尝试在我的 View 中使用局部变量，并且我从我的 session 中间件中收到一个禁止的错误。

这是我的表单代码——我使用 handlebars 作为我的模板引擎:

  <form method='post' action='/api/entries' enctype='multipart/form-data' >
    <input type='hidden' name='_csrf' value={{csrf_token}} />
    <input class='foo' type='text' />
    <input class='bar' type='text' />
    <button id='submit' type='submit'> SUBMIT
  </form>

我试过使用和不使用双花括号来引用 csrf_token 变量，但都不起作用。关于我做错了什么的任何想法？ Error: Forbidden 发生在我用于发布到/api/entries 的路由函数甚至被调用之前。所以我很确定问题是我在引用 csrf token 时做错了..

*编辑:*关于“req.session._csrf 已弃用，改用 req.csrfToken()”登录到控制台，我做了:

grep -r '_csrf' .

在我的应用程序目录中。这是输出..除了 View 之外，我似乎没有在任何地方引用它，我隐藏的 CSRF 字段被命名为“_csrf”..

./node_modules/express/node_modules/connect/lib/middleware/csrf.js:    var secret = req.session._csrfSecret;
./node_modules/express/node_modules/connect/lib/middleware/csrf.js:      req.session._csrfSecret = secret;
./node_modules/express/node_modules/connect/lib/middleware/csrf.js:      Object.defineProperty(req.session, '_csrf', {
./node_modules/express/node_modules/connect/lib/middleware/csrf.js:          console.warn('req.session._csrf is deprecated, use req.csrfToken() instead');
./node_modules/express/node_modules/connect/lib/middleware/csrf.js:  return (req.body && req.body._csrf)
./node_modules/express/node_modules/connect/lib/middleware/csrf.js:    || (req.query && req.query._csrf)
./v/home.hbs:    <input type='hidden' name='_csrf' value={{csrf_token}} />
./v/show.hbs:  <input type='hidden'  name='_csrf' value={{csrf_token}} />

这是我在尝试 POST 到/api/entries 端点时得到的整个错误堆栈(我之前愚蠢地忽略了这一点，但我正在使用 connect-redis 作为 session 中间件):

Error: Forbidden
    at Object.exports.error (appFolder/node_modules/express/node_modules/connect/lib/utils.js:63:13)
    at createToken (appFolder/node_modules/express/node_modules/connect/lib/middleware/csrf.js:82:55)
    at Object.handle (appFolder/node_modules/express/node_modules/connect/lib/middleware/csrf.js:48:24)
    at next (appFolder/node_modules/express/node_modules/connect/lib/proto.js:193:15)
    at next (appFolder/node_modules/express/node_modules/connect/lib/middleware/session.js:318:9)
    at appFolder/node_modules/express/node_modules/connect/lib/middleware/session.js:342:9
    at appFolder/node_modules/connect-redis/lib/connect-redis.js:101:14
    at try_callback (appFolder/node_modules/redis/index.js:580:9)
    at RedisClient.return_reply (appFolder/node_modules/redis/index.js:670:13)
    at ReplyParser.<anonymous> (appFolder/node_modules/redis/index.js:312:14)

edit 2: connect-redis.js 中的错误是一个函数试图通过 session ID 获取当前 session 但失败了。不知道为什么会这样，我的 connect-redis 设置看起来是正确的。这让我很痛苦

Answer 1

编辑:如果您不需要文件上传，请不要使用multipart/form-data enctype。切换到默认 enctype 将允许 express.csrf() 解析 _csrf token 。

为了使用 multipart/form-data enctype 解析表单，您需要在应用配置中使用多部分解析器，或自行处理文件上传。建议避免使用包含的 express.bodyParser()，而是在您期望文件上传的路径上使用类似 busboy 或 formidable 的东西, 以防止 exploit .

如果你走这条路，你的 _csrf 字段将不再被 express.csrf() 捕获，因为在请求通过之前不会解析表单主体那个中间件。将表单操作设置为 '/api/entries?_csrf={{csrf_token}}' 以解决此问题。

var fs = require('fs');
var async = require('async');
var express = require('express');
var formidable = require('formidable');
var app = express();

app.use(express.urlencoded())
  .use(express.json())
  .use(express.cookieParser())
  .use(express.session())
  .use(express.csrf())

app.get('/upload', function(req, res) {
  // File uploads ignored.
  res.render('upload', {_csrf:req.csrfToken()});
});

app.post('/upload', function(req, res) {
  // Explicitly handle uploads
  var form = new formidable.IncomingForm();
  form.uploadDir = 'temp';

  var count = 0;
  var maxAllowed = 10;

  form.onPart = function(part) {
    if (!part.filename) return form.handlePart(part);

    count++;

    // Ignore any more files.
    if (count > maxAllowed) return part.resume();

    form.handlePart(part);
  };

  form.parse(req, function(err, fields, files) {
    // Process the files. If you don't need them, delete them.
    // Note that you should still reap your temp directory on occasion.

    async.map(Object.keys(files), function(key, cb) {
      fs.unlink(files[key].path, cb);
    }, function(err) {
      res.end();
    });
   });
});