使用Justinas NoSurf CSRF时Go表单POST请求返回400错误排查

核心排查方向 #

以下是针对你的代码逐一排查的关键点：

1. 确认NoSurf中间件的初始化与配置 #

你目前的代码里只把noSurf作为中间件传入，但没有展示noSurf函数的具体实现。需要确保：

• NoSurf的Cookie配置和你的session中间件兼容，比如路径、SameSite、Secure等属性一致。示例初始化代码：

  func noSurf(next http.Handler) http.Handler {
      csrfHandler := nosurf.New(next)
      // 匹配你的session Cookie配置，避免冲突
      csrfHandler.SetBaseCookie(http.Cookie{
          Path:     "/",
          HttpOnly: true,
          SameSite: http.SameSiteLaxMode,
          Secure:   false, // 生产环境HTTPS时设为true
      })
      return csrfHandler
  }
  

• 不要修改默认的Token字段名（csrf_token），如果自定义了，模板里的隐藏字段name必须和配置一致。

2. 验证模板是否正确渲染CSRF Token #

• 打开浏览器的页面源码，检查注册表单里的隐藏字段<input type="hidden" name="csrf_token" value="{{.CSRFToken}}"/>是否渲染出了实际的Token值（不是空字符串）。
• 查看后端控制台的CSRF Token (GET):输出，如果有值但页面源码里为空，说明你的RenderTemplate函数可能没有正确将templateData传递给模板执行，检查该函数是否正确调用了template.Execute(w, data)。

3. 检查POST请求中Token是否正确携带 #

查看后端控制台的CSRF Token (POST):输出：

• 如果为空：说明模板渲染失败，Token没输出到表单里，回到步骤2排查。
• 如果有值但验证失败：检查浏览器是否允许Cookie（NoSurf依赖Cookie存储Token上下文），在开发者工具的Application -> Cookies里查看是否存在NoSurf的Cookie；另外确认中间件顺序是否正确（session中间件必须在NoSurf之前执行，你的代码里dynamicMiddleware的顺序是对的）。

4. 修复表单验证失败时的遗漏数据 #

在signupSubmit函数中，当表单验证失败返回模板时，你没有传递FormData，导致模板里的输入框无法回显用户之前输入的内容，虽然这不是CSRF错误的直接原因，但建议补充：

data := &templateData{
    ErrorsFromForm: errors_user,
    FormData:       r.PostForm, // 新增这行
    CSRFToken:      nosurf.Token(r),
}

5. 确认中间件执行顺序 #

你的路由代码中，standardMiddleware包裹了整个router，而具体路由的dynamicMiddleware是在router内部执行，这个顺序是正确的（全局中间件先处理，然后路由级中间件，最后处理器），无需调整。

内容的提问来源于stack exchange，提问作者radgeek