如何保护 node express 中的 DELETE 请求以防止注入？

Question

我有一个表格，有人可以在其中上传文件，如果他们不再需要它，则可以撤消。我想向服务器发送删除文件的请求，但我担心用户可能会发送 ../../lorem/ipsum/。我在 header 中有一个 csrf 令牌和一个 session.id 作为 cookie，但我将如何使用它们？我必须使用 DELETE 作为请求方法。

revert = function(req, res) {

fs.unlink(`/home/node/` + req.body.file, (err) => {
  if (err) throw err;
  console.log('file was deleted');
});
  res.send('done');
};

app.delete('/revert', revert);

Answer 1

您应该为每个上传的文件生成一个 ID，并将其保存在某种地图或数据库中。您 return 作为成功上传响应的一部分提供给用户的 ID。只有知道 ID 的用户才能撤消上传（例如：使用您提供的 link 或自行构建）

如何保护 node express 中的 DELETE 请求以防止注入？

How to secure DELETE request in node express to prevent injection?

fs

express

http-delete