CSRF 防護

csrf.ts複製

// 生成一個與請求者會話繫結的令牌
const token = Bun.CSRF.generate("my-secret", { sessionId: "user-session-id" });

// 驗證它
const isValid = Bun.CSRF.verify(token, { secret: "my-secret", sessionId: "user-session-id" });
console.log(isValid); // true

generate.ts複製

const token = Bun.CSRF.generate("my-secret-key");

generate-options.ts複製

// 繫結到請求者會話的令牌，1 小時後過期，編碼為 hex
const token = Bun.CSRF.generate("my-secret", {
  sessionId: "user-session-id",
  expiresIn: 60 * 60 * 1000,
  encoding: "hex",
});

// 使用不同的演算法
const token2 = Bun.CSRF.generate("my-secret", {
  sessionId: "user-session-id",
  algorithm: "sha512",
});

verify.ts複製

const isValid = Bun.CSRF.verify(token, { secret: "my-secret-key" });

verify-options.ts複製

// 驗證一個繫結到請求者會話的令牌
const isValid = Bun.CSRF.verify(token, {
  secret: "my-secret",
  sessionId: "user-session-id",
});

// 強制執行比生成令牌時更短的最大存活時間
const isValid2 = Bun.CSRF.verify(token, {
  secret: "my-secret",
  sessionId: "user-session-id",
  maxAge: 60 * 1000, // 拒絕超過 1 分鐘的令牌
});

server.ts複製

const SECRET = process.env.CSRF_SECRET || "my-secret";

// 從會話 cookie 中解析請求者的會話識別符號。
// 當訪問者還沒有會話時傳回 null——切勿退回到共享的佔位符，
// 否則所有沒有會話的訪問者都會共享同一個令牌繫結。
function getSessionId(req: Request): string | null {
  return req.headers.get("cookie")?.match(/(?:^|;\s*)session=([^;]+)/)?.[1] ?? null;
}

const server = Bun.serve({
  routes: {
    "/form": req => {
      // 在簽發表單前為每個訪問者建立一個會話，
      // 這樣令牌就會繫結到這個訪問者，而不是其他任何人。
      let sessionId = getSessionId(req);
      const headers = new Headers({ "Content-Type": "text/html" });
      if (!sessionId) {
        sessionId = crypto.randomUUID();
        headers.append("Set-Cookie", `session=${sessionId}; HttpOnly; SameSite=Lax; Path=/`);
      }

      const token = Bun.CSRF.generate(SECRET, { sessionId });

      return new Response(
        `<form method="POST" action="/submit">
          <input type="hidden" name="_csrf" value="${token}" />
          <input type="text" name="message" />
          <button type="submit">傳送</button>
        </form>`,
        { headers },
      );
    },

    "/submit": {
      POST: async req => {
        const sessionId = getSessionId(req);
        const formData = await req.formData();
        const csrfToken = formData.get("_csrf");

        if (!sessionId || typeof csrfToken !== "string" || !Bun.CSRF.verify(csrfToken, { secret: SECRET, sessionId })) {
          return new Response("無效的 CSRF 令牌", { status: 403 });
        }

        return new Response("成功");
      },
    },
  },
});

console.log(`監聽於 ${server.url}`);

default-secret.ts複製

// 這兩個呼叫在此執行環境上下文中使用相同的每執行緒預設金鑰。
const token = Bun.CSRF.generate();
const isValid = Bun.CSRF.verify(token); // true

types.ts複製

type CSRFAlgorithm = "blake2b256" | "blake2b512" | "sha256" | "sha384" | "sha512" | "sha512-256";

interface CSRFGenerateOptions {
  expiresIn?: number;
  encoding?: "base64" | "base64url" | "hex";
  algorithm?: CSRFAlgorithm;
  sessionId?: string;
}

interface CSRFVerifyOptions {
  secret?: string;
  encoding?: "base64" | "base64url" | "hex";
  algorithm?: CSRFAlgorithm;
  maxAge?: number;
  sessionId?: string;
}

namespace Bun.CSRF {
  function generate(secret?: string, options?: CSRFGenerateOptions): string;
  function verify(token: string, options?: CSRFVerifyOptions): boolean;
}