深入解析CSRF防护机制：如何解决’an expected csrf token cannot be found’错误

1次阅读

共计 2434 个字符，预计需要花费 7 分钟才能阅读完成。

跨站请求伪造（CSRF）是一种利用用户已登录状态发起非预期操作的攻击方式。攻击者诱导用户访问恶意页面时，该页面自动向目标网站发送请求（如转账、改密），由于浏览器会携带用户的 Cookie，服务器将误认为是合法操作。

CSRF 防护的核心思路是 ” 验证请求来源的合法性 ”，而 Token 机制通过以下流程实现：

服务器生成随机 Token 并同时存储在服务端会话和页面表单中
用户提交表单时携带该 Token
服务器比对表单 Token 和会话中的 Token
仅当两者匹配时才处理请求

通过 CsrfFilter 自动完成 Token 生命周期管理：

// 默认启用配置（Spring Boot）@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {http.csrf(); // 默认启用 CSRF 防护
    }
}

Token 生成 ：使用CsrfTokenRepository 接口的默认实现HttpSessionCsrfTokenRepository
Token 传递 ：通过X-CSRF-TOKEN 头或 _csrf 表单字段

# settings.py
MIDDLEWARE = [
    'django.middleware.csrf.CsrfViewMiddleware',
    # ... 其他中间件
]

Token 生成 ：每次会话生成固定 Token，通过{% csrf_token %} 模板标签嵌入表单
验证机制 ：对比csrfmiddlewaretoken 表单值和 cookie 中的csrftoken

// 在 web 中间件组中自动启用
Route::middleware('web')->group(function () {// 路由定义});

Token 存储：使用 Session 存储
表单集成 ：@csrf 指令自动生成隐藏字段

an expected csrf token cannot be found通常表明以下环节出现问题：

Token 未正确生成
会话未正确初始化
CSRF 中间件未正确加载
Token 传递失败
表单未包含 Token 字段（未使用框架模板标签）
AJAX 请求未设置 CSRF 头
同源策略阻止 Token 传递
验证流程异常
会话超时导致 Token 失效
负载均衡场景下会话不同步
自定义验证逻辑存在缺陷

// 确保 Thymeleaf 模板包含 Token
<form th:action="@{/action}" method="post">
    <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>
    <!-- 其他表单字段 -->
</form>

// AJAX 请求设置
$.ajax({
    url: "/api",
    type: "POST",
    beforeSend: function(xhr) {xhr.setRequestHeader("X-CSRF-TOKEN", $("meta[name='_csrf']").attr("content"));
    }
});

# 确保模板正确渲染
<form method="post">
    {% csrf_token %}
    <!-- 表单内容 -->
</form>

# 视图函数豁免 CSRF（谨慎使用）from django.views.decorators.csrf import csrf_exempt

@csrf_exempt
def my_view(request):
    return HttpResponse('Hello world')

// Blade 模板标准写法
<form method="POST" action="/profile">
    @csrf
    <!-- 表单内容 -->
</form>

// Axios 全局配置
window.axios.defaults.headers.common['X-CSRF-TOKEN'] = document.querySelector('meta[name="csrf-token"]').content;