revel框架中csrf防御需将csrf.csrffilter置于sessionfilter之后、validationfilter之前；表单须手动嵌入name="csrf_token"的隐藏字段；ajax请求需在body或x-csrf-token头中显式传值；token失效主因是内存session未共享，生产环境须改用redis等分布式存储。
revel-csrf 是 Revel 框架里最直接可用的 CSRF 防御方案，它不改框架核心、不侵入业务逻辑，靠 Filter 机制就能生效。但配置稍有偏差，就会出现 403 Forbidden 或 token 不匹配，尤其在 Ajax 场景下容易漏掉 header 或字段。
怎么注册 csrf.CSRFFilter 到 Revel 的 filter 链
Revel 的请求生命周期由 revel.Filters 数组控制，CSRF Filter 必须插在 SessionFilter 之后、ValidationFilter 之前——因为要依赖 session 存储 token，又得在参数校验前完成验证。
常见错误是把它放在 ParamsFilter 前面，导致 c.Params 还没解析，CSRF Filter 就去读表单字段，结果取不到 csrf_token 值，直接 403。
正确顺序示例（关键位置已标出）：
revel.Filters = []revel.Filter{
revel.PanicFilter,
revel.RouterFilter,
revel.FilterConfiguringFilter,
revel.ParamsFilter,
revel.SessionFilter, // ← 必须在这之后
revel.FlashFilter,
csrf.CSRFFilter, // ← 放这里
revel.ValidationFilter, // ← 必须在这之前
revel.I18nFilter,
revel.InterceptorFilter,
revel.ActionInvoker,
}
HTML 表单里怎么嵌入和提交 csrf_token
Revel 默认不会自动注入 token，你得手动把 {{.csrf_token}} 写进每个非 GET 表单。注意：不是 {{.CSRFToken}}，也不是 {{.CsrfToken}}，大小写敏感，变量名就是 .csrf_token。
常见疏漏点：
- 忘记给
<form></form>加method="POST"（GET 请求默认跳过验证，但如果你手动开启了 GET 验证，就可能意外拦截） - 用
<input type="hidden" name="token">而不是name="csrf_token"—— 后端默认只认csrf_token这个 key - 在模板里写了
{{.csrf_token}}，但 controller 没调用c.Render()或没传值，导致渲染为空字符串
标准写法：
Ajax 请求怎么带 CSRF token
Revel 的 csrf.CSRFFilter 默认只检查表单字段 csrf_token，但 Ajax 请求通常走 JSON 或 URL-encoded body，或者干脆用 fetch 发 GET，这时候必须显式传 token。
两种可靠方式：
- 在请求 body 里加字段：
csrf_token: "{{.csrf_token}}"（适用于application/x-www-form-urlencoded） - 在请求 header 里加：
X-CSRF-Token: {{.csrf_token}}（需确认你用的revel-csrf版本支持 header 模式；v1.0+ 默认开启）
特别注意：如果前端用了 fetch 且 credentials: "include"，但没带 token 字段或 header，请求照样被拦。浏览器不会自动补 CSRF token，它和 Cookie 完全无关。
为什么刷新页面后 token 总是失效
根本原因是 revel-csrf 默认把 token 存在 session 里，而 Revel 的 session 默认用的是内存存储（revel.SessionStore = &revel.MemorySessionStore{}）。一旦服务重启、进程崩溃或部署多实例没共享 session 存储，token 就对不上。
解决路径很明确：
- 开发阶段可接受，但上线前必须切换 session 存储后端，比如 Redis 或数据库
- 检查
app.conf是否设置了session.store = redis并配好连接参数 - 不要依赖
revel.SessionTimeout来“延长”token 有效期——CSRF token 是一次性或短时效的，刷新页面时框架会生成新 token，旧的立即作废
这个点最容易被忽略：本地调试一切正常，一上生产集群就大面积 403，排查半天才发现是 session 没共享。
