使用 express.csrf() 进行错误处理

Question

我有一些关于使用 CSRF 保护的问题。当我使用没有有效 csrf 令牌的“发布”路由时，我得到一个“错误：在 Object.exports.error 处禁止 ....”，是否可以将没有有效令牌的请求重定向到特殊路由？

这是我的代码：

app.use(express.csrf());
app.use(function (req, res, next) {  
    res.locals.csrftoken = req.csrfToken();  
    next();  
});

另一个问题是，保护这个令牌的好方法是什么？将其存储在 cookie 中，而不是使用隐藏字段是否更好？还是说安全性没有区别？

form(method="post",action="/test")  
    input(type="hidden", name="_csrf", value="#{csrftoken}")  

第三个问题是：禁用 cookie 的用户无法访问任何路由，对吗？那么我可以只对特殊路线使用保护吗？

谢谢！

Answer 1

1) 是的。你可以使用

res.redirect('/redirect_route'); 

见http://expressjs.com/4x/api.html#res.redirect

2）我的东西cookie或隐藏字段根本不安全，你可以使用你喜欢的

3) 是的。可以使用中间件保护特殊路由

app.get('/account', checkToken, routes.account);

function checkUser(req, res, next) {
    res.locals.csrftoken = req.csrfToken();  
    next(); 
}