无效的 CSRF 令牌错误 (express.js)答案

【问题标题】：Invalid CSRF token error (express.js)无效的 CSRF 令牌错误 (express.js)
【发布时间】：2017-04-12 10:01:34
【问题描述】：

我正在使用node 6.5.0 和npm 3.10.3。

当我尝试将用户登录到该站点时，我收到了这个 invalid csrf token 错误。

{ ForbiddenError: invalid csrf token at csrf (/Users/Documents/web-new/node_modules/csurf/index.js:113:19)

在 redis 中存储会话的登录无需 csurf 模块 (https://github.com/expressjs/csurf)。使用 csurf 模块，会话 ID 存储在 redis 中，但我无法向客户端返回正确的响应以登录用户。我正在使用 Angular2 和 node/express。据我了解，Angular2 在使用 HTTP 服务时默认支持 CSRF/XSRF 和 CookieXSRFStrategy，所以我需要做的就是在 node/express 端配置一些东西。带有 webpack-dev-server 的 Angular2 应用程序在 localhost:3000 上运行，而 node/express 服务器在 localhost:3001 上运行。我支持 CORS。

我可以在 localhost:3000 的 devtools 中看到名称为 XSRF-TOKEN 的 cookie。

您能否推荐我如何解决此错误？

//cors-middleware.js

var corsOptions = {
   origin: 'http://localhost:3000',
  credentials:true
}

app.use(cors(corsOptions));
app.use(function(req, res, next) {
    res.setHeader('Content-Type','application/json');
        next();
    })
};

//index.js

import path from 'path';
import session from 'express-session';
import connectRedis from 'connect-redis';
import rp from 'request-promise';
import * as _ from 'lodash';
import cors from 'cors';
import csurf from 'csurf';

const redisStore = connectRedis(session);
const dbStore = new redisStore(db);

let baseUrl = app.getValue('baseUrl');

/* ~~ api authentication ~~ */

let options = {
    method: 'POST',
    url: `${baseUrl}/authenticate`,
    rejectUnauthorized: false,
    qs: {
     username: 'someUsername', key: 'someKey'
    },
    json: true
};
rp(options)
    .then(response => {
        let apiToken = response.response;
        app.setValue("token", apiToken);
    })
    .catch(err => {
        console.error(err);
    });

/* ~~ configure session ~~ */

app.use(session({
    secret: app.getValue('env').SESSION_SECRET,
    store: dbStore,
    saveUninitialized: false,
    resave: false,
    rolling: true,
    cookie: {
        maxAge: 1000 * 60 * 30 // in milliseconds; 30 min
    }
}));

/* ~~ login user ~~ */

let csrf = csurf();

app.post('/loginUser', csrf, (req, res, next) => {
    let user = {};
    let loginOptions = {
        method: 'POST',
        url: `${baseUrl}/client/login`,
        rejectUnauthorized: false,
        qs: {
            token: app.getValue('token'),
            email: req.body.email,
            password: req.body.password
        },
        headers: {
            'Content-Type': 'application/json'
        },
        json: true
    };

    rp(loginOptions)
        .then(response => {
            let userToken = response.response.token;
            let clientId = response.response.clientId;

            req.session.key = req.session.id;

            user.userToken = userToken;
            user.clientId = clientId;


            let clientAttributeOptions = {
                url: `${baseUrl}/client/${clientId}/namevalue`,
                rejectUnauthorized: false,
                qs: {
                    token: app.getValue('token'),
                    usertoken: userToken
                },
                json: true
            };

            return rp(clientAttributeOptions);
        })
        .then(response => {
            req.session.user = user;
                res.send({user:user})
        })
        .catch(err => {
            next(err);
        })

});

【问题讨论】：

标签： node.js express angular csrf x-xsrf-token

【解决方案1】：

我的问题是我只在 app.post('/loginUser) 路由中包含了 csrf 函数作为中间件。

当我将它包含在所有路线中时，该模块运行良好。
let csrf = csurf(); app.get('/*', csrf, (req, res) => { res.sendFile(app.get('indexHTMLPath')); });

【讨论】：