ajax请求安全 csrf_示例代码

AJAX请求安全中的CSRF（Cross-Site Request Forgery）是一种攻击方式，攻击者通过伪造用户的请求，使用户在不知情的情况下执行恶意操作。为了防止CSRF攻击，我们可以在服务器端生成一个随机的token，并将其嵌入到每个表单或者请求中。当用户提交请求时，服务器会验证token的有效性，如果token不匹配，则拒绝该请求。

示例代码如下所示：

<form action="/submit" method="POST">
  <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
  <!-- 其他表单字段 -->
  <button type="submit">提交</button>
</form>

在上述示例中，我们在表单中添加了一个隐藏的字段`csrf_token`，其值为服务器生成的随机token。当用户提交表单时，该token会随着请求一起发送到服务器端。

在服务器端，我们需要对每个请求进行CSRF验证。示例代码如下所示：

app.post('/submit', function(req, res) {
  var csrfToken = req.body.csrf_token;
  if (csrfToken === req.session.csrf_token) {
    // 验证通过，处理请求
    // ...
  } else {
    // 验证失败，拒绝请求
    // ...
  }
});

在上述示例中，我们首先从请求体中获取到提交的`csrf_token`，然后与服务器端存储的token进行比较。如果两者匹配，则说明请求是合法的，我们可以继续处理请求；如果两者不匹配，则说明请求可能是恶意的，我们应该拒绝该请求。

通过在每个请求中嵌入随机的token，并在服务器端进行验证，我们可以有效地防止CSRF攻击。