Go Web 应用中的 CSRF 防护策略与实践

import (
    "github.com/nu7hatch/gouuid" // 用于生成 UUID
    "github.com/gorilla/sessions" // 假设使用 gorilla/sessions 管理会话
    "github.com/gorilla/xsrftoken"
    "net/http"
)

// 假设 sessionStore 已经初始化
var sessionStore *sessions.CookieStore
var csrfKey = "your-secret-csrf-key" // 替换为你的秘密密钥

func generateCSRFToken(w http.ResponseWriter, r *http.Request) (string, error) {
    session, err := sessionStore.Get(r, "user-session")
    if err != nil {
        return "", err
    }

    // 为非登录用户生成或获取一个唯一的 ID
    userID, ok := session.Values["id"].(string)
    if !ok || userID == "" {
        newUUID, err := uuid.NewV4()
        if err != nil {
            return "", err
        }
        userID = newUUID.String()
        session.Values["id"] = userID
    }

    // 生成 CSRF 令牌
    // path 参数应与表单提交的目标路径一致，以增加安全性
    csrfToken := xsrftoken.Generate(csrfKey, userID, "/listing/new/post")
    session.Values["csrfToken"] = csrfToken

    // 保存会话
    err = session.Save(r, w)
    if err != nil {
        return "", err
    }

    return csrfToken, nil
}

<!-- 在你的 HTML 模板中 -->
<form action="/listing/new/post" method="POST">
    <!-- 其他表单字段 -->
    <input type="hidden" name="csrfToken" value="{{ .CSRFToken }}">
    <button type="submit">提交</button>
</form>

func handleFormSubmission(w http.ResponseWriter, r *http.Request) {
    session, err := sessionStore.Get(r, "user-session")
    if err != nil {
        http.Error(w, "Session error", http.StatusInternalServerError)
        return
    }

    // 从会话中获取存储的令牌和用户 ID
    sessionCSRFToken, ok := session.Values["csrfToken"].(string)
    if !ok || sessionCSRFToken == "" {
        http.Error(w, "CSRF token missing in session", http.StatusBadRequest)
        return
    }

    userID, ok := session.Values["id"].(string)
    if !ok || userID == "" {
        http.Error(w, "User ID missing in session", http.StatusBadRequest)
        return
    }

    // 从表单中获取提交的令牌
    submittedCSRFToken := r.PostFormValue("csrfToken")

    // 1. 简单对比：检查会话中的令牌与提交的令牌是否一致
    if sessionCSRFToken != submittedCSRFToken {
        http.Error(w, "Invalid CSRF token (mismatch)", http.StatusBadRequest)
        return
    }

    // 2. 使用 xsrftoken.Valid 进一步验证令牌的有效性（如过期时间）
    // path 参数应与令牌生成时使用的路径一致
    if !xsrftoken.Valid(submittedCSRFToken, csrfKey, userID, "/listing/new/post") {
        http.Error(w, "Invalid CSRF token (validation failed)", http.StatusBadRequest)
        return
    }

    // CSRF 验证通过，继续处理表单数据
    // ...
    w.Write([]byte("Form submitted successfully!"))
}