做前后分离。CSRF 可以将csrfToken放到cookie下通过js获取
这样不还是会出现CSRF风险吗
egg也提供了一个方式。将csrfToken放到session里面。
但是这样前后分离岂不是获取不了csrfToken
找不到更好的办法。。只能先关闭CSRF验证了。。
回复 (1)
A
如果你前端页面的入口不是 Egg 托管的，那就属于第三方访问，Egg 只做 API Server，这种场景下，本来就不应该用 csrf
参与回复
登录后即可参与回复。登录
做前后分离。CSRF 可以将csrfToken放到cookie下通过js获取
这样不还是会出现CSRF风险吗
egg也提供了一个方式。将csrfToken放到session里面。
但是这样前后分离岂不是获取不了csrfToken
找不到更好的办法。。只能先关闭CSRF验证了。。
如果你前端页面的入口不是 Egg 托管的，那就属于第三方访问，Egg 只做 API Server，这种场景下，本来就不应该用 csrf