Sails.js POST请求CSRF Token始终不匹配问题求助

核心排查方向及修复方案 #

1. 会话一致性异常 #

Sails的CSRF Token与用户会话强绑定，若获取Token和POST请求的会话不统一，必然导致不匹配：

• 检查浏览器Cookie状态：Sails默认依赖Cookie存储会话ID，禁用Cookie会导致每次请求生成新会话，Token自然无法匹配。
• 确认请求域名/端口一致：/csrfToken和POST目标sUrl的域名、端口必须完全一致，跨域场景下需在AJAX中添加xhrFields: { withCredentials: true }，同时在Sails的CORS配置中开启允许凭证。
• 验证AJAX是否携带Cookie：跨域请求时，默认不会携带Cookie，需手动配置上述withCredentials参数。

2. 调试方法错误 #

你调用req.csrfToken()时，该方法会生成新的Token，而非返回当前会话绑定的Token，导致对比无效：

• 正确的对比方式：在控制器中读取req.session._csrf（会话中存储的有效Token），和请求头的X-CSRF-Token做对比。

3. 请求数据/头配置问题 #

• 检查formData：若FormData中包含_csrf字段，Sails会优先读取该字段而非请求头，若字段值与请求头Token不一致会触发错误，需清理FormData中的旧Token。
• 核对请求头键名：Sails默认识别X-CSRF-Token，若config/security.js中修改了csrf.header配置，需同步调整AJAX的请求头键名。

4. Sails配置异常 #

• 检查config/security.js：确保csrf设为true，且csrf.routesDisabled列表中不包含你的POST请求路由。
• 验证会话存储：若使用自定义会话存储（如Redis），确认存储服务正常运行，会话数据可正常读写。

实用调试技巧 #

• 在获取Token的回调中打印document.cookie，同时在POST控制器中打印req.cookies，确认两次请求的会话ID一致。
• 在控制器中直接打印req.headers['x-csrf-token']和req.session._csrf，快速定位是请求头未正确传递，还是会话Token异常。

内容的提问来源于stack exchange，提问作者amad