Echo框架表单提交时CSRF验证失效问题解决求助

问题描述 #

使用Go语言Echo框架为登录表单实现CSRF防护时，调用c.Validate验证CSRF令牌，即便该方法返回nil，代码仍触发"Invalid CSRF token"错误。已尝试修改变量名、更换令牌查找方式，问题仍未解决。

相关代码 #

Go代码

e := echo.New()
e.Use(middleware.CSRFWithConfig(middleware.CSRFConfig{
  TokenLookup: "form:_csrf",
}))
e.GET("/sign-in", func(c echo.Context) error {
  return c.Render(http.StatusOK, "sign-in.html", map[string]interface{}{
    "csrf":  c.Get(middleware.DefaultCSRFConfig.ContextKey),
  })
}).Name = "signin"
e.POST("/login", func(c echo.Context) error {
  // Validate CSRF token
  csrfErr := c.Validate(middleware.DefaultCSRFConfig.TokenLookup + ":form:_csrf")
  if csrfErr != nil {
    return echo.NewHTTPError(http.StatusUnauthorized, "Invalid CSRF token")
  }

  // Rest of the code
}).Name = "login"

HTML代码

<form action="/login" method="post" autocomplete="off">
    <input type="hidden" name="_csrf" value="{{.csrf}}">
    <div class="mb-3">
        <label class="form-label">Email address</label>
        <input type="email" name="email" class="form-control" placeholder="your@email.com" autocomplete="off">
    </div>
    <div class="mb-2">
        <label class="form-label"> Password </label>
        <div class="input-group input-group-flat">
            <input type="password" name="password" class="form-control" placeholder="Your password" autocomplete="off">
        </div>
    </div>
    <div class="form-footer">
        <button type="submit" class="btn btn-primary w-100">Sign in</button>
    </div>
</form>

问题根源 #

1. 错误使用c.Validate方法：c.Validate是Echo用于验证结构体参数的方法，并非用来验证CSRF令牌，传入的参数格式完全不符合该方法的要求。
2. 重复验证+无效参数拼接：CSRF中间件已经会根据配置的TokenLookup自动验证请求中的令牌，手动调用验证属于重复操作；且middleware.DefaultCSRFConfig.TokenLookup + ":form:_csrf"会生成无效的查找规则字符串，导致逻辑混乱。

修复方案 #

直接删除手动验证CSRF令牌的代码块，依赖CSRF中间件自动完成验证即可：

e.POST("/login", func(c echo.Context) error {
  // 移除所有手动验证CSRF的代码

  // 正常执行登录逻辑
  email := c.FormValue("email")
  password := c.FormValue("password")
  // ... 后续身份验证、会话创建等逻辑

  return c.Redirect(http.StatusFound, "/dashboard") // 示例跳转，可替换为实际响应
}).Name = "login"

验证说明 #

• 确认模板渲染的CSRF令牌正确：在浏览器中查看登录页面源代码，检查_csrf隐藏字段的value是否为有效令牌字符串。
• CSRF中间件会自动拦截验证失败的请求并返回403错误，无需手动处理；验证通过后才会进入登录处理逻辑。

内容的提问来源于stack exchange，提问作者qumin