apisix~csrf插件

• https://www.devzery.com/post/how-to-test-api-with-csrf-token-in-postman-complete-guide
  
• https://apisix.apache.org/docs/apisix/plugins/csrf/
  

配置信息

1. {
2.     key： token的密钥
3.     expires：过期时间，默认7200（秒）
4.     name: token在cookie中的名称，默认是apisix-csrf-token
5. }

复制代码

插件解释

先在cookie中写入csrf-token

1. local function gen_sign(random, expires, key)
2.     local sha256 = resty_sha256:new()
4.     local sign = "{expires:" .. expires .. ",random:" .. random .. ",key:" .. key .. "}"
6.     sha256:update(sign)
7.     local digest = sha256:final()
9.     return str.to_hex(digest)
10. end
13. local function gen_csrf_token(conf)
14.     local random = math.random()
15.     local timestamp = ngx_time()
16.     local sign = gen_sign(random, timestamp, conf.key)
18.     local token = {
19.         random = random,
20.         expires = timestamp,
21.         sign = sign,
22.     }
24.     local cookie = ngx_encode_base64(core.json.encode(token))
25.     return cookie
26. end
28. function _M.header_filter(conf, ctx)
29.     local csrf_token = gen_csrf_token(conf)
30.     local cookie = conf.name .. "=" .. csrf_token .. ";path=/;SameSite=Lax;Expires="
31.                    .. ngx_cookie_time(ngx_time() + conf.expires)
32.     core.response.add_header("Set-Cookie", cookie)
33. end

复制代码

一个csrf-token由随机数，过期时间，签名组成，下面介绍一下这3个参数

• random 随机数
  
• expires 过期时间
  
• sign = 上面两个参数+key的sha256的散列数
  
• 末了把这三个数进行base64写到cookie里
  
• 
  

post,put,delete这些会改变数据状态的哀求，需要进行csrf的防护，在postman里可以这样测试

• scripts里添加脚本
  

1. var xsrfCookie = postman.getResponseCookie("apisix-csrf-token");
2. if (xsrfCookie) {
3.   //  console.log(encodeURIComponent(xsrfCookie.value))
4.   // pm.environment.set("xsrf-token",   decodeURIComponent(xsrfCookie.value));
5.    pm.environment.set("xsrf-token",xsrfCookie.value);//base64的值在cookie被url编码，不需要关心
6. }

复制代码

• header中添加csrf
  
• cookie里的csrf也会被传到apisix
  
• 末了将header和cookie里的值进行比较
  

假如出现apisix-csrf-token被篡改，会返回401

1. {"error_msg":"csrf token mismatch"}

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。