如何在 Go 中实现表单的 CSRF Token 校验-Golang-PHP中文网

http 请求中拿不到 csrf token 是因为 go 标准库不会自动解析表单 _csrf 字段或校验 cookie；需手动生成、写入（cookie + 模板隐藏字段）、提取并比对，缺一不可。

如何在 go 中实现表单的 csrf token 校验

为什么 `http.Request` 里拿不到 CSRF Token？

因为 Go 标准库的 http.Request 不会自动解析表单里的 _csrf 字段，也不会从 cookie 读取 token 并比对。你得手动做三件事：生成 token、写入响应（cookie + 模板）、在处理 POST 时提取并校验。漏掉任意一步，ParseForm() 后也看不到 _csrf，或者校验永远失败。

常见错误现象：request.FormValue("_csrf") 返回空字符串；或 cookie 中的 _csrf 值和表单提交的不一致，但没报错——其实是压根没校验。

必须在处理 GET 请求时生成并设置 token（比如用 http.SetCookie() 写入 _csrf cookie）
模板中要显式把 token 放进隐藏字段：<input type="hidden" name="_csrf" value="{{.CSRFToken}}">
POST 处理函数里，先调用 r.ParseForm()，再分别取 r.FormValue("_csrf") 和 r.Cookie("_csrf") 做比对

如何安全生成和存储 CSRF Token？

别用 math/rand，它不加密安全；也别把 token 存在内存 map 里——多实例部署时会失效。推荐用 crypto/rand 生成 32 字节随机值，再用 base64.URLEncoding.EncodeToString() 编码成 URL 安全字符串。

存储方式取决于你的架构：

Golang Uber Dig

使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等

下载

单机服务：可存在 sync.Map，key 是 session ID（从 cookie 取），value 是 token 字符串 + 过期时间戳
分布式服务：必须用 Redis，key 是 "csrf:" + sessionID，设 TTL（比如 15 分钟），避免长期泄露风险
如果用了 gorilla/sessions，直接存到 session store 即可：session.Values["csrf_token"] = token，注意 session 要启用 Options.HttpOnly = true

`gorilla/csrf` 库能省多少事？

它帮你做了 token 生成、cookie 设置、header/form 字段提取、签名防篡改（默认用 HMAC-SHA256），还能限制来源域名。但默认配置有坑：

不启用 Secure 选项时，开发环境可能因 HTTP 下 cookie 不被发送导致校验失败；上线前务必加 csrf.Secure(true)
如果前端用 fetch 提交表单，需显式带上 cookie：credentials: "same-origin"，否则浏览器不发 _gorilla_csrf cookie
它默认从 header X-CSRF-Token 或 form 字段 gorilla.csrf.Token 读 token，不是 _csrf —— 模板里得用 {{.CSRFField}} 或手动输出 {{.CSRFToken}}
中间件顺序很重要：必须在 session 中间件之后、路由 handler 之前注册 csrf.Protect()