使用csrf令牌
我感兴趣的是使用生成一个csrf令牌来保护我的web应用程序。 我的问题是我如何需要将该令牌发送回服务器：使用查询参数或http标头x-csrf-token？
有什么区别
由于您使用Express，因此您可以使用其CSRF中间件（通过Connect）： http : //www.senchalabs.org/connect/csrf.html
您可以在这里查看评论的源代码： https ： //github.com/senchalabs/connect/blob/master/lib/middleware/csrf.js
所有你需要做的就是包含这个中间件，然后在你的POST表单中（或者PUT等，无论请求状态如何变化）都将variables_csrf设置为req.session._csrf 。
在这里检查示例： https ： //github.com/senchalabs/connect/blob/master/examples/csrf.js
UPDATE
由于Connect 2.9.0，您必须使用req.csrfToken()而不是req.session._csrf
完整的例子： https ： //github.com/senchalabs/connect/blob/master/examples/csrf.js
提交： https ： //github.com/senchalabs/connect/commit/70973b24eb1abe13b2da4f45c1edbb78c611d250
UPDATE2
连接中间件被分成不同的模块（和相关的仓库），你可以在这里find所有的（包括CSRF的）： https : //github.com/senchalabs/connect#middleware
从我的angular度来看，在提交表单时，您应该在隐藏字段中使用csrf POST参数。 这是唯一的出路。
但是对于AJAX请求，我强烈build议您使用X-CSRF-Token标头。 主要是因为，如果做得正确的话，它将为您节省记住为每个POST请求添加令牌的麻烦。 或者，当使用jQuery Form之类的库时，在提交时添加额外的POST参数会变得骇人听闻。
例如，如果您将jQuery用于您的AJAX请求，它会为您提供一个钩子，您可以使用该钩子在发出请求之前自动且透明地设置X-CSRF-Token 。 因此，非常less的客户端代码修改是必需的。 而且你的代码的迷人程度也大幅提升。
–
基于Django的一个示例实现，我几乎在所有的项目中都成功地使用了：
jQuery(document).ajaxSend(function(event, xhr, settings) { function getCookie(name) { var cookieValue = null; if (document.cookie && document.cookie != '') { var cookies = document.cookie.split(';'); for (var i = 0; i < cookies.length; i++) { var cookie = jQuery.trim(cookies[i]); // Does this cookie string begin with the name we want? if (cookie.substring(0, name.length + 1) == (name + '=')) { cookieValue = decodeURIComponent(cookie.substring(name.length + 1)); break; } } } return cookieValue; } function sameOrigin(url) { // url could be relative or scheme relative or absolute var host = document.location.host; // host + port var protocol = document.location.protocol; var sr_origin = '//' + host; var origin = protocol + sr_origin; // Allow absolute or scheme relative URLs to same origin return (url == origin || url.slice(0, origin.length + 1) == origin + '/') || (url == sr_origin || url.slice(0, sr_origin.length + 1) == sr_origin + '/') || // or any other URL that isn't scheme relative or absolute ie relative. !(/^(\/\/|http:|https:).*/.test(url)); } function safeMethod(method) { return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method)); } if (!safeMethod(settings.type) && sameOrigin(settings.url)) { xhr.setRequestHeader("X-CSRFToken", getCookie('csrf.token')); } });
在服务器端，你只需要设置一个包含CSRF令牌的cookie，这样客户端就可以很容易地获得令牌。 我用下面的app.use(express.csrf())replace了app.use(express.csrf()) ：
app.use((function(options) { var csrf = express.csrf(options); return function(req, res, next) { function onCsrfCalled() { var token = req.session._csrf; var cookie = req.cookies['csrf.token']; // Define a cookie if not present if(token && cookie !== token) { res.cookie('csrf.token', token); } // Define vary header res.header('Vary', 'Cookie'); next(); } csrf(req, res, onCsrfCalled); } })());