如何传递csrf令牌在所有视图中的Express，nodejs

Question

我有一个使用ExpressJS构建的NodeJS应用程序。在安全审查之后，有人建议我在所有表单和ajax提交上实现CSRF。为此，我使用了csurf包。为此，我们需要在每个表单页面中传递CSRF令牌，然后将其与表单提交数据一起返回。

首先，我尝试对包含表单的页面单独执行此操作。但后来我意识到我的页面标题中有一个搜索表单，它出现在所有页面上。现在，是否有任何方法可以将CSRF令牌传递给我的所有视图，而无需为每个请求显式传递它。下面是我用来呈现表单页面的通用html" target="_blank">代码。我使用Jade/Pug进行渲染：

router.get('/createcampaign', checkUserSession, middleWare2, middleware3, function(req, res){
    var pageInfo = {};
    pageInfo.title = 'Create New Campaign';
    pageInfo.projects = req.projects;
    pageInfo.session = req.session;
    pageInfo.bodyid = 'createcampaign';
    pageInfo.project_id = req.flash('project_id');
    pageInfo.bodyclass = 'bluebody';
    pageInfo.account = req.account;
    pageInfo.grammars = req.grammars;
    pageInfo.csrfToken = req.csrfToken; //Here I pass csrfToken to view

    res.render( 'users/createcampaign', pageInfo );
});//createcampaign get route

如您所见，我需要传递带有view上下文对象的csrfToken。我如何全局传递它，以便将其传递给所有视图？

谢谢

Answer 1

create a middleware that will pass a token to the token property to the request object
var csrf = require('csurf')   
app.use(csrf())
app.use(function(request,response,next){
    app.locals._token = request.csrfToken()
    next() 
})

and you can use the variable _token in your view