egg不是自带了csrf安全防范么？

Question

egg不是自带了csrf安全防范么，为什么禁用了官方的，要自己写一个，如果是 想用官方的csrf安全防范，应该如何操作？

Answer 1

夏小宅 2020-10-29 10:10:21

不推荐使用egg提供的csrf（依赖于cookie），灵活度不高。课程中使用jwt技术来预防csrf，不依赖于cookie。https://eggjs.org/zh-cn/core/security.html#%E5%AE%89%E5%85%A8%E5%A8%81%E8%83%81-csrf-%E7%9A%84%E9%98%B2%E8%8C%83可以参考官方的文档。

• 提问者 拖车板牙爵士 #1

  官方的csrf是不是要先发起一个get请求，通过接口给客户端返回token才能在进行post？否则无法直接进行post是吧？

• 夏小宅 回复 提问者 拖车板牙爵士 #2

  通过egg内置的cookie方法来设置cookie，比如：config.security = {
      csrf: {
        enable: true,
        cookieName: 'democsrf'
      },
    };
  那么浏览器中的cookie的key就是democsrf，value就是token。之后前端请求后端接口，会携带上cookie。

• 提问者 拖车板牙爵士 #3

  非常感谢！