Golang使用gin-csrf包时遭遇CSRF token mismatch问题排查求助

Hey there, let's break down why you're hitting that CSRF token mismatch error and fix it step by step:

1. 确认CSRF Token的正确传递方式 #

The most common culprit here is not sending the CSRF token correctly in your requests. The gin-csrf middleware expects the token to be present in one of these locations:

• HTTP请求头: 携带X-CSRF-Token或X-XSRF-Token字段（取决于你的中间件配置）
• 表单字段: 在POST/PUT/DELETE表单中添加名为_csrf的隐藏输入框
• URL查询参数: 在请求URL后拼接?_csrf=<token>（出于安全考虑不推荐这种方式）

你可以通过csrf.GetToken(c)从Gin上下文获取当前有效的token值，确保请求中使用的是这个最新值。

2. 统一会话与CSRF的密钥配置 #

看你的代码，会话存储用的密钥是"secret"，而CSRF中间件用的是"secret123"——虽然这不是绝对错误，但很容易导致混乱。

gin-csrf中间件可以自动复用会话存储的密钥，如果你没有特别需求，可以尝试移除CSRF配置里的Secret: "secret123"，让它继承会话存储的密钥；如果确实需要分开设置，也要保证密钥逻辑的一致性。

3. 验证中间件的执行顺序 #

你当前的中间件顺序（先会话、后CSRF）是正确的，因为CSRF依赖会话来存储和获取token数据。但要确认两个中间件都应用在了你测试的路由/路由组上——如果请求的路由没有挂载会话中间件，CSRF token就无法正常生成，自然会出现不匹配。

4. 检查Cookie的配置限制 #

如果你用浏览器测试，要确保Cookie功能是开启的。另外，检查会话存储的Cookie配置是否有过于严格的限制，比如HttpOnly: true或Secure: true，可能会影响token的正常获取。比如测试用HTTP协议但设置了Secure: true，Cookie就不会被发送，直接导致token不匹配。

你可以这样调整会话存储的Cookie选项：

store := cookie.NewStore([]byte("secret"))
store.Options(sessions.Options{
    HttpOnly: true,
    Secure: false, // 只有使用HTTPS时才设为true
    SameSite: http.SameSiteLaxMode,
})

5. 避免复用旧会话的Token #

如果你一直在复用之前会话的token，必然会出现不匹配问题。每个会话对应唯一的CSRF token，要确保每次请求都重新获取最新的token值。

内容的提问来源于stack exchange，提问作者Kirandeep