CSRF (跨域请求伪造) 中间件

CSRF (Cross-site request forgery) 跨域请求伪造，也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。[1] 跟跨网站脚本 (XSS) 相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。

用法

  1. e.Use(middleware.CSRF())

自定义配置

用法

  1. e := echo.New()
  2. e.Use(middleware.CSRFWithConfig(middleware.CSRFConfig{
  3.   TokenLookup: "header:X-XSRF-TOKEN",
  4. }))

上面的例子使用 X-XSRF-TOKEN 请求头取出 CSRF 的 token 值。

获取 CSRF Token

服务器端

服务器端可以使用 ContextKey 从 Echo#Context 拿到 CSRF token 然后通过模版传给客户端。

客户端

客户端可以通过 CSRF cookie 拿到 token 值。

配置

  1. // CSRFConfig defines the config for CSRF middleware.
  2. CSRFConfig struct {
  3.   // Skipper defines a function to skip middleware.
  4.   Skipper Skipper
  6.   // TokenLength is the length of the generated token.
  7.   TokenLength uint8 `json:"token_length"`
  8.   // Optional. Default value 32.
  10.   // TokenLookup is a string in the form of "<source>:<key>" that is used
  11.   // to extract token from the request.
  12.   // Optional. Default value "header:X-CSRF-Token".
  13.   // Possible values:
  14.   // - "header:<name>"
  15.   // - "form:<name>"
  16.   // - "query:<name>"
  17.   TokenLookup string `json:"token_lookup"`
  19.   // Context key to store generated CSRF token into context.
  20.   // Optional. Default value "csrf".
  21.   ContextKey string `json:"context_key"`
  23.   // Name of the CSRF cookie. This cookie will store CSRF token.
  24.   // Optional. Default value "csrf".
  25.   CookieName string `json:"cookie_name"`
  27.   // Domain of the CSRF cookie.
  28.   // Optional. Default value none.
  29.   CookieDomain string `json:"cookie_domain"`
  31.   // Path of the CSRF cookie.
  32.   // Optional. Default value none.
  33.   CookiePath string `json:"cookie_path"`
  35.   // Max age (in seconds) of the CSRF cookie.
  36.   // Optional. Default value 86400 (24hr).
  37.   CookieMaxAge int `json:"cookie_max_age"`
  39.   // Indicates if CSRF cookie is secure.
  40.   // Optional. Default value false.
  41.   CookieSecure bool `json:"cookie_secure"`
  43.   // Indicates if CSRF cookie is HTTP only.
  44.   // Optional. Default value false.
  45.   CookieHTTPOnly bool `json:"cookie_http_only"`
  46. }

默认配置

  1. DefaultCSRFConfig = CSRFConfig{
  2.   Skipper:      defaultSkipper,
  3.   TokenLength:  32,
  4.   TokenLookup:  "header:" + echo.HeaderXCSRFToken,
  5.   ContextKey:   "csrf",
  6.   CookieName:   "_csrf",
  7.   CookieMaxAge: 86400,
  8. }