Golang - POST 请求未成功（NoSurf CSRF）

目前golang学习网上已经有很多关于Golang的文章了，自己在初次阅读这些文章中，也见识到了很多学习思路；那么本文《Golang - POST 请求未成功（NoSurf CSRF）》，也希望能帮助到大家，如果阅读完后真的对你学习Golang有帮助，欢迎动动手指，评论留言并分享~

我在 golang 代码中使用 nosurf 进行 csrf。这是来自 trevor sawler 的 golang 课程，第 8.2 节。如果有的话，我决定使用 bootstrap 5 而不是教程的 bootstrap 4。我的代码可以在这里找到。要激活 web 服务器，我使用 go run ./cmd/web/*.go。因此，在 cmd\web\routes.go 内，以下内容可用于 localhost:8080/search-availability 页面：

mux.get("/search-availability", handlers.repo.availability)
mux.post("/search-availability", handlers.repo.availabilitypost)

在 pkg\handlers\handlers.go 内，我有：

func (m *repository) availability(w http.responsewriter, r *http.request) {
    log.println("availability")
    render.rendertemplate(w, r, "search-availability.page.tmpl", &models.templatedata{})
}

func (m *repository) availabilitypost(w http.responsewriter, r *http.request) {
    log.println("before write")
    w.write([]byte("posted to search-availability"))
    log.println("after write")
}

在 pkg\render\render.go 内，我有：

func adddefaultdata(td *models.templatedata, r *http.request) *models.templatedata {
    td.csrftoken = nosurf.token(r)
    return td
}

在 pkg\models\templatedata.go 内，我有：

type templatedata struct {
    stringmap map[string]string
    intmap    map[string]int
    floatmap  map[string]float64
    data      map[string]interface{}
    csrftoken string
    flash     string
    error     string
}

在 templates\search-availability.page.tmpl 内，我在第 13 行：

<input type="text" name="csrf_token" value="{{.csrftoken}}">

从 localhost:8080/search-availability 页面选择开始和结束日期后，单击 search availability 按钮总是会出现 400 bad request ，如下所示。

从终端，我可以看到代码从未进入availabilitypost：

2023/03/12 19:06:48 hit the page
2023/03/12 19:06:48 availability
2023/03/12 19:06:51 hit the page

但是，如果我在 cmd\web\routes.go 中禁用 nosurf，如下所示：

func routes(app *config.appconfig) http.handler {
    mux := chi.newrouter()
    mux.use(middleware.recoverer)
    mux.use(writetoconsole)
    // mux.use(nosurf)
    mux.use(sessionload)
    ...
    mux.get("/search-availability", handlers.repo.availability)
    mux.post("/search-availability", handlers.repo.availabilitypost)
    ...

    fileserver := http.fileserver(http.dir("./static/"))
    mux.handle("/static/*", http.stripprefix("/static", fileserver))
    return mux
}

浏览器显示成功发布：

posted to search-availability

终端还确认：

2023/03/12 19:19:46 Hit the page
2023/03/12 19:19:46 Availability
2023/03/12 19:19:48 Hit the page
2023/03/12 19:19:48 Before Write
2023/03/12 19:19:48 After Write

有人可以指出我做错了什么吗？正如教程中所示，我没有获得成功的帖子。该材料有点过时，但我不明白这怎么会成为一个问题。

正确答案

您没有在表单提交时发送 CSRF 令牌输入。 要解决此问题，您可以将 form 属性添加到 CSRF 输入元素并将其设置为表单的 ID（日期选择器），或者将 CSRF 输入元素移动到表单元素内。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《Golang - POST 请求未成功（NoSurf CSRF）》文章吧，也可关注golang学习网公众号了解相关技术文章。