使用Go+Chi框架处理HTML POST表单时遇400错误的解决咨询

1. 补全NoSurf的CSRF令牌验证 #

NoSurf中间件会强制校验CSRF令牌，表单中缺失该字段直接触发400错误。

• 在HTML表单中添加隐藏的CSRF令牌字段：

  <form action="/Login" method="POST">
    <input type="hidden" name="csrf_token" value="{{ .CSRFToken }}">
    <input type="text" name="u_name" placeholder="账号">
    <input type="password" name="pass" placeholder="密码">
    <button type="submit">登录</button>
  </form>
  

• 在渲染登录页面的GET处理函数中，将CSRF令牌传入模板：

  func LoginPageHandler(w http.ResponseWriter, r *http.Request) {
    csrfToken := nosurf.Token(r)
    if err := yourTemplate.Execute(w, map[string]interface{}{"CSRFToken": csrfToken}); err != nil {
      http.Error(w, "页面渲染失败", http.StatusInternalServerError)
    }
  }
  

2. 调整中间件注册顺序 #

Chi中间件的执行顺序依赖注册顺序，SessionLoad必须在NoSurf之前注册，否则NoSurf无法获取会话存储CSRF令牌：

r := chi.NewRouter()
// 先加载会话中间件
r.Use(session.SessionLoad)
// 再启用NoSurf
r.Use(nosurf.New)
// 注册路由
r.Get("/Login", LoginPageHandler)
r.Post("/Login", LoginHandler)

3. 检查表单Content-Type与参数解析 #

• 确保表单使用默认的application/x-www-form-urlencoded编码（无需额外声明，除非你手动修改过enctype），避免使用multipart/form-data却未在Handler中处理。
• 在LoginHandler中先执行表单解析，避免参数读取失败：

  func LoginHandler(w http.ResponseWriter, r *http.Request) {
    if err := r.ParseForm(); err != nil {
      http.Error(w, "表单解析失败", http.StatusBadRequest)
      return
    }
    uName := r.FormValue("u_name")
    pass := r.FormValue("pass")
    // 后续登录逻辑
  }
  

4. 校验Session配置有效性 #

如果Session中间件的存储配置错误（比如密钥无效、存储后端不可用），会导致会话创建失败，进而触发NoSurf的CSRF验证失败：

• 确保会话初始化正确，以gorilla/sessions为例：

  var sessionStore = sessions.NewCookieStore([]byte("your-strong-random-secret-key"))
  
  func SessionLoad(next http.Handler) http.Handler {
    return sessions.LoadAndSave(sessionStore)(next)
  }
  

  注意生产环境中密钥要随机且足够长，避免硬编码。

内容的提问来源于stack exchange，提问作者VexsX