如何自定义限制Node.js signup接口仅允许本地程序调用？

我明白你的顾虑——开放的POST接口确实容易被恶意请求滥用。下面是几种实用的解决方案，按安全性和易用性排序：

1. 验证CSRF令牌（最安全推荐） #

这是Web应用中防止跨站请求伪造的标准方案，同时也能阻止直接通过工具发起的请求：

• 前端步骤：
  在渲染注册页面时，后端生成一个唯一的CSRF令牌，将其存入用户的Cookie（HttpOnly设为false，方便前端读取），同时把令牌嵌入页面的隐藏字段或者全局变量中。
  比如在EJS模板里：

  <input type="hidden" id="csrfToken" value="<%= csrfToken %>">
  

  然后AJAX请求时带上这个令牌：

  const csrfToken = document.getElementById('csrfToken').value;
  $.ajax({
    method: "POST",
    url: "/signup",
    data: { 
      tel: tel, 
      password: password,
      _csrf: csrfToken
    },
    headers: {
      'X-CSRF-Token': csrfToken // 也可以放在请求头里，更隐蔽
    }
  })
  

• 后端步骤：
  在app.js的/signup接口中，读取请求中的CSRF令牌，和Cookie里的令牌对比，只有一致才处理请求：

  .post('/signup', async (ctx) => {
    const requestCsrf = ctx.request.body._csrf || ctx.headers['x-csrf-token'];
    const cookieCsrf = ctx.cookies.get('csrfToken');
    if (!requestCsrf || requestCsrf !== cookieCsrf) {
      ctx.status = 403;
      ctx.body = { message: '非法请求' };
      return;
    }
    // 后续的注册逻辑
  })
  

  你也可以使用现成的中间件，比如koa-csrf（如果你用Koa的话），简化令牌的生成和验证流程。

2. 检查Referer请求头（简单易实现，适合基础防护） #

浏览器发起AJAX请求时，会自动带上Referer头，记录请求的来源页面URL。你可以在后端验证这个头是否来自你的域名：

.post('/signup', async (ctx) => {
  const referer = ctx.headers.referer;
  // 验证Referer是否包含你的域名，比如你的域名是example.com
  if (!referer || !referer.includes('example.com')) {
    ctx.status = 403;
    ctx.body = { message: '仅允许本站页面发起请求' };
    return;
  }
  // 后续的注册逻辑
})

⚠️ 注意：Referer头可以被用户手动修改，所以这只是基础防护，不能完全阻止有经验的攻击者，但能挡住大部分随意的滥用。

3. 限制请求来源IP（仅适用于服务器内部调用场景） #

如果你的需求是仅允许服务器本地程序调用（比如其他后端服务），而不是前端页面，那可以检查请求的IP是否是本地回环地址：

.post('/signup', async (ctx) => {
  const clientIp = ctx.ip;
  // 本地回环IP包括127.0.0.1（IPv4）和::1（IPv6）
  if (clientIp !== '127.0.0.1' && clientIp !== '::1') {
    ctx.status = 403;
    ctx.body = { message: '仅允许本地程序调用' };
    return;
  }
  // 后续的注册逻辑
})

但这个方案不适合前端AJAX调用的场景，因为前端请求的IP是用户的公网IP，不是服务器的本地IP。

根据你的场景，我最推荐第一种CSRF令牌方案，既能有效防止恶意请求，也是Web开发中的最佳实践。

内容的提问来源于stack exchange，提问作者Bin