csrf或者说xsrf是开发web服务避免不了要处理的问题,前后不分离的话,这个问题很好解决,一般框架都有完善的解决方法,并且文档中都会详尽介绍该种使用方式
但是现在越来越多的web应用都是前后端分离模式开发,并且是不同域名,cookie携带csrf的方式无法满足所有需求
通常这种情形下都会通过请求头来进行携带,但是beego框架的文档中并没有说明如何通过请求头header来携带csrftoken
于是还是要从源码中找答案
// CheckXSRFCookie checks xsrf token in this request is valid or not. // the token can provided in request header "X-Xsrftoken" and "X-CsrfToken" // or in form field value named as "_xsrf". func (ctx *Context) CheckXSRFCookie() bool { token := ctx.Input.Query("_xsrf") if token == "" { token = ctx.Request.Header.Get("X-Xsrftoken") } if token == "" { token = ctx.Request.Header.Get("X-Csrftoken") } if token == "" { ctx.Abort(422, "422") return false } if ctx._xsrfToken != token { ctx.Abort(417, "417") return false } return true }
可以看到,源码中的校验方式,会从表单中获取_xsrf字段,没有的话就会从请求头中获取。
所以,如果B/S模式开发的话,将从服务端获取的csrf放到请求头中
"X-Xsrftoken" 或者 "X-Csrftoken" 字段下即可。
看起来beego并没有从cookie中获取csrf的方式,Django框架是提供了cookie携带csrftoken的方式的,不过好像cookie携带也确实有些多余了,请求头携带一劳永逸。