CSRF Protection (Chống CSRF)

Cross-site request forgery (CSRF hay XSRF — giả mạo request giữa các site) là một dạng tấn công mà các lệnh không được cho phép được gửi đi từ một user đáng tin cậy tới một web application. Để giúp ngăn chặn điều này, bạn có thể dùng package csrf-csrf.

Dùng với Express (mặc định)

Bắt đầu bằng việc cài package cần thiết:

$ npm i csrf-csrf

Sau khi cài xong, đăng ký middleware csrf-csrf như một global middleware.

import { doubleCsrf } from 'csrf-csrf';
// ...
// somewhere in your initialization file
const {
  invalidCsrfTokenError, // This is provided purely for convenience if you plan on creating your own middleware.
  generateToken, // Use this in your routes to generate and provide a CSRF hash, along with a token cookie and token.
  validateRequest, // Also a convenience if you plan on making your own middleware.
  doubleCsrfProtection, // This is the default CSRF protection middleware.
} = doubleCsrf(doubleCsrfOptions);
app.use(doubleCsrfProtection);

Dùng với Fastify

Bắt đầu bằng việc cài package cần thiết:

$ npm i --save @fastify/csrf-protection

Sau khi cài xong, đăng ký plugin @fastify/csrf-protection như sau:

import fastifyCsrf from '@fastify/csrf-protection';
// ...
// somewhere in your initialization file after registering some storage plugin
await app.register(fastifyCsrf);