Node Express使用csurf模块时登出后CSRF token未失效如何解决

你当前使用的csurf配置为{ cookie: true }，属于Cookie存储模式：这种模式下CSRF校验的密钥直接存储在独立的_csrfCookie中，和服务端session完全解绑，所以销毁session不会影响CSRF token的有效性，旧token自然可以正常使用。

方案一：切换为Session绑定模式（更安全，推荐） #

将CSRF token和用户session绑定，销毁session时会自动连带销毁关联的CSRF密钥，旧token自然失效。

1. 确保你已经提前配置并加载了express-session中间件（必须在csurf中间件之前加载）
2. 修改csurf初始化配置：

const csrf = require("csurf");
// session设为true，密钥存储在用户session中，和session生命周期绑定
const csrfProtection = csrf({ session: true });

方案二：保留Cookie模式，登出时手动清除CSRF Cookie #

如果你不想切换存储模式，需要在登出逻辑中主动删除CSRF Cookie，同时销毁session：

app.get("/logout", function (req, res) { 
   req.session.destroy(() => {
     // 清除默认名称的CSRF Cookie，如果你自定义了CSRF Cookie名称，替换为对应的key
     res.clearCookie('_csrf');
     // 后续登出逻辑，如跳转登录页
     res.redirect('/login');
   }); 
});

注意：如果你在csurf配置中自定义了Cookie的key、path、domain等属性，调用clearCookie时需要传入对应的配置项才能正确删除，比如自定义配置为{ cookie: { key: 'my_csrf', path: '/app' } }，则清除代码为res.clearCookie('my_csrf', { path: '/app' })

用户登录成功后，主动调用req.csrfToken()生成新的CSRF token，覆盖之前的旧值，进一步避免旧token被复用的风险。

内容的提问来源于stack exchange，提问作者Rusty