在从 Golang Buffalo 网络应用程序发送推文时设置 CSRF 令牌时出现问题

Question

我在尝试构建的Go Buffalo网络应用程序时遇到问题。我基本上在前端有一个标准表单，当点击时，应该向用户的推特帐户发送一条推文。这样做时，我得到"500：找不到 CSRF"。我正在使用 Go Buffalo 框架作为 Web 应用程序和 go-twitter 来处理 twitter API。

我对CSRF几乎没有经验，所以希望有人能在这种特定情况下帮助我。

推文.HTML：

<h3>Tweet tweet!</h3>
<form action="/tweet" method="POST">
    <div class="form-group">
        <label for="tweet">Your tweet:</label>
        <input type="text" name="tweet" class="form-control" id="tweet" placeholder="Tweet body" 
        value="">
    </div>
    <button type="submit" class="btn btn-primary">Send</button>
</form>

路由器：

app.POST("/tweet", SendHandler)

Tweet.go(包含SendHandler函数(：

package actions
import (
    "fmt"
    "log"
    "os"
    "twitapp/twitter"
    "github.com/gobuffalo/buffalo"
)
var creds = twitter.Credentials{
    AccessToken:       os.Getenv("ACCESS_TOKEN"),
    AccessTokenSecret: os.Getenv("ACCESS_TOKEN_SECRET"),
    APIKey:            os.Getenv("API_KEY"),
    APISecret:         os.Getenv("API_SECRET"),
}
type TweetForm struct {
    TweetBody string
}
// TweetHandler is the handler for the Tweet page
func TweetHandler(c buffalo.Context) error {
    return c.Render(200, r.HTML("tweet.html"))
}
//SendHandler Function used by tweet.html to send the tweet/
//Takes in variables from twitter/server.go
func SendHandler(c buffalo.Context) error {
    var form TweetForm
    body := form.TweetBody
    fmt.Printf("%+vn", creds)
    //Gets the client from the twitter package
    client, err := twitter.GetClient(&creds)
    if err != nil {
        log.Println("Error getting Twitter Client")
        log.Println(err)
    }
    //Sending the actual tweet. Body from the form
    tweet, resp, err := client.Statuses.Update(body, nil)
    if err != nil {
        log.Println(err)
    }
    log.Printf("%+vn", resp)
    log.Printf("%+vn", tweet)
    return c.Redirect(302, "/tweet/confirm")
}

还有一个从SendHandler函数调用的GetClient函数，但我无法想象问题出在那里，因为它是为调用设置Twitter客户端的标准代码。感谢任何帮助/指向正确方向。我目前对CSRF没有足够的了解来将其应用于此。

Answer 1

CSRF是布法罗试图保护你免受的攻击。

为此，它使用 CSRF 中间件来检查每个可能改变数据的请求(例如。发布、放置、删除等(并查找特定令牌。在您的用例中，Buffalo 希望您发送一个名为"authenticity_token"的输入字段，其中包含 CSRF 中间件在上下文中的值。您可以在上下文中的同一"authenticity_token"键中找到此值。

另一种解决方案是使用标记帮助程序 (https://github.com/gobuffalo/tags( 库，该库为您生成以下预期输入：https://github.com/gobuffalo/tags/wiki/Form

Answer 2

在浏览了GoBuffalo文档，特别是表单页面的这一部分后，我所要做的就是将这行代码添加到我的表单(tweet.html(中以处理真实性令牌。

<input name="authenticity_token" type="hidden" value="<%= authenticity_token %>">