NestJS 9.4.0初始化Fastify CSRF模块时崩溃求助

核心错误原因 #

你误用了NestJS的app.use()方法来注册Fastify专属插件（@fastify/cookie和@fastify/csrf-protection），但app.use()是为Express中间件设计的接口。Fastify插件必须通过Fastify实例的register方法加载，直接用app.use()会触发路径解析逻辑错误（也就是你看到的path-to-regexp相关报错）。

另外，你配置的cookie.path: '^/'是正则表达式格式，但Fastify的Cookie路径只接受字符串类型，应该改为'/'。

修正后的完整代码 #

import { NestFactory } from '@nestjs/core';
import { AppModule } from './app.module';
import { ConfigService } from '@nestjs/config';
import {
  FastifyAdapter,
  NestFastifyApplication,
} from '@nestjs/platform-fastify';
import fastifyCookie from '@fastify/cookie';
import fastifyCsrf from '@fastify/csrf-protection';
import { FastifyInstance } from 'fastify';

async function bootstrap() {
  const app = await NestFactory.create<NestFastifyApplication>(
    AppModule,
    new FastifyAdapter(),
  );
  const fastifyInstance: FastifyInstance = app.getHttpAdapter().getInstance();
  
  // 先注册Fastify官方插件
  await fastifyInstance
    .register(fastifyCookie)
    .register(fastifyCsrf, {
      cookie: {
        httpOnly: true,
        sameSite: 'strict',
        path: '/', // 修正为字符串路径
        secure: process.env.NODE_ENV === 'production', // 按环境动态设置，开发环境建议关闭
      },
    });

  // 自定义钩子与装饰器
  fastifyInstance
    .addHook('onRequest', async (req, res) => {
      req.socket['encrypted'] = process.env.NODE_ENV === 'production';
    })
    .decorateReply('setHeader', function (name: string, value: unknown) {
      this.header(name, value);
    })
    .decorateReply('end', function () {
      this.send('');
    });

  const configService = app.get(ConfigService);
  const port = configService.get<string>('PORT', '3000');

  // CORS配置
  app.enableCors({
    origin: '*',
    methods: 'GET, HEAD, PUT, PATCH, POST, DELETE',
    allowedHeaders: 'Content-Type, Authorization',
    credentials: true,
  });

  await app.listen(port);
}
bootstrap();

关键修改说明 #

• 插件注册方式调整：用fastifyInstance.register()替代app.use()，这是Fastify插件的标准加载逻辑，能确保插件正确集成到Fastify的生命周期中。
• Cookie路径修正：将path: '^/'改为path: '/'，Fastify不支持用正则定义Cookie路径，字符串'/'表示对所有路由生效。
• Secure配置优化：把固定的secure: true改为根据环境动态判断，开发环境下如果用HTTP协议，开启secure会导致Cookie无法被浏览器保存。
• 执行顺序调整：先完成Fastify插件注册，再添加自定义钩子和装饰器，避免插件初始化时依赖未就绪的实例。

修改后，CSRF防护会全局作用于所有修改类请求（POST/PUT/DELETE等），无需在控制器中额外调用CSRF相关方法。

内容的提问来源于stack exchange，提问作者Tebyy