Sails JS 禁止 POST 请求

Question

我正在尝试学习 Sails JS 和显然是 REST API。

我创建了一个我认为工作正常的用户模型（它与我的数据库通信数据）。我还创建了一个注册控制器，其中包含 4 个所需的输入，以便在我的用户集合中存储一条新记录。 （其他一些数据由该控制器生成，以完成注册时的记录）

我想用 POSTMAN 测试这个控制器，所以我去我的routes.js 看看：

'POST  /api/v1/entrance/signup': { action: 'entrance/signup' },

但是当我在 192.168.1.13:1338/api/v1/entrance/signup 输入一个 POST 请求并声明了我需要的 4 个输入时，我得到了这个答案：Forbidden

我不知道我做错了什么。我还在blueprints.js

中启用了 rest、shortcuts 和 actions

有人有想法吗？ :)

Answer 1

该问题确实与cross-site request forgery有关，但完全禁用相应的安全规则显然不是解决方案。 CSRF 及其在sailsjs 中的处理在manual 的相应部分中有很好的描述。简而言之，要使 POST 工作，您必须在请求中包含 _csrf。例如。在视图模板中：

<form>
   <input type="hidden" name="_csrf" value="<%- _csrf %>" />
</form>

Answer 2

如下所述，移除 CSRF 保护并不是解决办法，因为它可能会使 api 面临安全漏洞。我目前使用 JWT，但它似乎不如 CSRF 令牌安全，因此唯一正确的方法是将令牌包含在每个 HTTP 的请求标头中。