egg.js中实现RESTfull api，vue请求post数据提示 missing csrf token

zuohuadong 1楼•5 年前

跨域

atian25 2楼•5 年前

请求的时候，需要把 cookie 里面的 CSRF 带到 headers 里面

cWatermelon 3楼•5 年前

建议先看文档，可以把 csrf 保护关掉或者像楼上说的把csrf信息带到 token 中安全威胁csrf的防范

okoala 4楼•5 年前

https://eggjs.org/zh-cn/core/security.html#安全威胁-csrf-的防范

GGBond1989 5楼•5 年前

@atian25 正解，另外这是eggjs作者

gougou168 6楼•5 年前作者

谢谢各位大佬解决了。不是关闭csfr，而是让api接口不开启csrf 希望帮到大家

  exports.security = {
    csrf: {
      // 判断是否需要 ignore 的方法，请求上下文 context 作为第一个参数
      ignore: ctx => {
        if (ctx.request.url == 'ctx.request.url == '/alipay/alipayNotify' || ctx.request.url == '/weixinpay/weixinpayNotify') {
          return true;
        }else if(ctx.request.url.indexOf('/api')!=-1){
           return true;
        }else{
          return false;
        }
      }
    },
    domainWhiteList: [ 'http://localhost:8080' ]
  };

atian25 7楼•5 年前

为什么要忽略了，这样就防不了 csrf 攻击了。

gougou168 8楼•5 年前作者

@atian25 前后端分离的项目，vue直接给服务器post数据，没法获取csrf，官方给的例子是服务器直接渲染的，然后ajax请求携带csrf。

不知道前后端分离的项目中有没有更好的方案。

现在后端用了 egg-cors 以及配置api接口不开启csrf验证

atian25 9楼•5 年前

嗯，不同域的话，那就关掉或忽略 csrf 即可。