NestJS配置CSURF遇令牌不匹配问题求助

先梳理你配置里的几个核心问题，这些是导致CSURF失效、令牌不匹配的关键：

问题分析 #

• CORS配置冗余错误：allowedHeaders里包含了Access-Control-Allow-Origin、access-control-allow-methods这类服务端响应头，这些不是客户端请求时需要携带的头，会导致CORS预请求验证失败，进而影响CSRF令牌的正常传递。
• CSURF Cookie参数非法：sameSite: true是无效取值，合法选项为'strict'、'lax'或'none'；如果用'none'必须同时开启secure: true（仅HTTPS环境可用）。另外你手动设置XSRF-TOKEN cookie的逻辑，和csurf自身的令牌管理机制冲突。
• 关闭BodyParser导致令牌读取失败：csurf需要解析POST/PUT等请求的请求体来校验令牌，关闭bodyParser会导致服务端无法读取客户端携带的CSRF令牌，直接触发不匹配错误。

修正后的配置代码 #

import * as cookieParser from 'cookie-parser';
import * as csurf from 'csurf';
import { NestFactory } from '@nestjs/core';
import { envConfig } from '../config/env.config';
import { AppModule } from './app.module';

async function bootstrap() {
  const port = envConfig.port;

  const app = await NestFactory.create(AppModule, {
    cors: {
      origin: envConfig.frontendDomain, // 生产环境务必指定具体前端域名，不要用true
      methods: ['GET', 'POST', 'DELETE', 'PUT', 'PATCH'],
      exposedHeaders: ['Location', 'X-CSRF-TOKEN'], // 暴露令牌头给客户端读取
      allowedHeaders: [
        'Content-Type',
        'X-CSRF-TOKEN' // 仅保留客户端需要携带的请求头
      ],
      credentials: true,
      preflightContinue: false,
    },
    // 保留默认的bodyParser，csurf依赖它解析请求体
    logger: ['warn', 'error', 'debug'],
    bufferLogs: true
  });

  app.use(cookieParser());
  // 让csurf自动管理令牌的生成与存储
  app.use(csurf({
    cookie: {
      sameSite: 'lax', // 根据业务场景选择strict/lax，跨域场景可选none（需配合secure: true）
      httpOnly: true, // 开启httpOnly防止XSS窃取令牌
      secure: envConfig.isProduction, // 生产环境HTTPS下开启
      key: 'XSRF-TOKEN' // 指定存储令牌的cookie名称
    },
    value: (req) => {
      // 优先从请求头取令牌，也支持从请求体取
      return req.headers['x-csrf-token'] || req.body._csrf;
    }
  }));

  // 在响应头返回CSRF令牌，供客户端获取
  app.use((req, res, next) => {
    res.setHeader('X-CSRF-TOKEN', req.csrfToken());
    next();
  });

  await app.listen(port);
}

bootstrap();

额外注意事项 #

1. 客户端配合：前端在发送非GET请求时，必须在请求头中携带X-CSRF-TOKEN，值从响应头或XSRF-TOKEN cookie中获取。
2. JWT加固补充：除了CSRF防护，JWT本身还要做好这些：设置合理的过期时间（exp）、开启HttpOnly和Secure属性、避免在JWT中存储敏感数据、采用短有效期访问令牌+长有效期刷新令牌的机制。
3. 生产环境配置：CORS的origin一定要指定具体的前端域名，不要用true，避免恶意域名跨域请求。

内容的提问来源于stack exchange，提问作者Brijesh Sagathiya