13、数据安全防护：从CSRF到数据全流程保护

数据安全防护：从CSRF到数据全流程保护

1. CSRF防护与常见陷阱

CSRF（跨站请求伪造）是一种危险的攻击方式，攻击者可借助其他网站或社会工程学手段在目标网站执行操作。我们可以通过设置中间件来验证 url.parse 返回的值，重点关注协议、主机、主机名和端口变量。以下是一段验证 Origin 或 Referer 头的代码：

var origin = req.headers.origin || req.headers.referer;
// Validate the header
if(!origin || !validate(origin)) {
    var error = new Error('Unauthorized');
    error.code = 403;
    // Besides just saying that we had a mismatch
    // we should log some useful information about the request here
    // the user and referrer and origin headers of the request for example
    console.warn('Origin/Referer mismatch');
    next(error);
    return;
}
// Everything ok, so continue
next();

也可以检查主机名和端