如何使用Golang实现跨站请求防护_使用Token和Header验证

分类

如何使用Golang实现跨站请求防护_使用Token和Header验证2025-12-15 04:07:09

Token和Header验证是防止CSRF的有效手段，Golang中通过生成一次性Token、前端携带（表单隐藏域或X-CSRF-Token头）、服务端校验session中Token一致性来实现，需绑定用户session、避免URL传递、统一分布式session存储。

如何使用golang实现跨站请求防护_使用token和header验证

使用 Token 和 Header 验证是防止 CSRF（跨站请求伪造）的有效手段，Golang 中可通过标准库 net/http 结合中间件实现。核心思路是：服务端生成一次性或短期有效的 Token，前端在表单或请求头中携带，后端校验其合法性与一致性。

每次用户访问需要防护的页面（如登录页、表单页），服务端生成随机 Token 并存入用户 session 或加密签名后返回给前端。推荐使用 gorilla/sessions 管理 session，或用 crypto/rand 生成安全随机字符串：

用 crypto/rand.Read 生成 32 字节随机字节，再 base64 编码为字符串
将 Token 存入 session（如 session.Values["csrf_token"] = token），同时设置过期时间（如 30 分钟）
通过模板变量或 API 接口把 Token 传给前端，例如：<input type="hidden" name="csrf_token" value="{{.CSRFToken}}">

前端需在两种场景中带上 Token：

表单提交时：作为隐藏字段（<input type="hidden" name="csrf_token">），后端从 r.FormValue("csrf_token") 获取
AJAX 请求时：统一在请求头中添加，如 X-CSRF-Token: xxx，后端从 r.Header.Get("X-CSRF-Token") 读取
建议对非 GET/HEAD 请求（POST/PUT/DELETE）强制校验，GET 请求一般无需防护