Я работаю над примером приложения, используя Node.js для серверной части и Angular 2 для внешнего интерфейса.
Чтобы предотвратить атаки CSRF, я использовал промежуточное программное обеспечение csurf. Ниже приведен соответствующий код для установки промежуточного программного обеспечения.
// cookie parser
app.use(cookieParser());
// express session middleware , this should be after cookie parser
app.use(session({secret:'clickclick'}));
app.use(session({
secret: 'clickclick',
cookie: {
path:'/',
httpOnly:true,
maxAge:null
}
}));
// CSRF middleware
app.use(csurf());
Ниже маршрут node.js устанавливает заголовок «_csrf»
router.get('/:id/products/:pid' , wrap(function *(req , res , next) {
try
{
console.log('url' , req.url);
res.setHeader('_csrf', req.csrfToken());
let product = yield category.getProduct(req , res , next);
res.send(product);
}
catch(err)
{
res.status(500).send(err);
}
}))
Вышеупомянутый маршрут '/:id/products/:pid' вызывается из моего нижеприведенного метода службы Angular 2.
// Get Product
GetProduct(id:string, pid:string):Observable<Product> {
return this.http.get('./categories/' + id + '/products/' + pid)
.map(data =>{ let headers:Headers = data.headers;
this.csrfToken = headers.get('_csrf') ;
return data.json() })
.catch(this.handleError);
}
Этот метод назначает заголовок _csrf, возвращенный с сервера, свойству this.csrfToken.
И когда приведенный ниже метод службы отправляет запрос AJAX POST, он использует значение свойства this.csrfToken, установленное указанным выше методом, и устанавливает значение заголовка «_csrf».
// Add an item to cart
AddTocart(product:Product)
{
let item = { pid:product._id , name:product.name , price:product.price , qty:1 , total:product.price };
//this.cart.push(item);
// make an AJAX call to save the item in server session
let url = './cart/add';
let headers = new Headers({'Content-Type':'application/json' , '_csrf':this.csrfToken});
let requestOptions = new RequestOptions({headers:headers});
this.http.post(url , item , requestOptions)
.map(data => {
this.cart.push(item);
}
)
.catch(this.handleError)
.subscribe( data => { });
}
Ниже приведен заголовок ответа метода службы GetProduct. 
А ниже — заголовок запроса сервисного метода «AddTocart».
Любая идея, что вызывает ошибку «ForbiddenError: недопустимый токен csrf». Пожалуйста, дайте мне знать, если мне нужно предоставить дополнительную информацию или если предоставленная информация неясна.
