防止我的 React / Gatsby 联系表被劫持

Question

我有一个 Gatsby (React) 页面，其中包含一个将参数发送到 API 端点的联系表单。 该表单位于浏览器客户端。

该 Api Endpoint 发送到电子邮件服务提供商，到目前为止一切顺利。

但是我如何防止人们直接向该端点/api/contact-form 发送电子邮件，在我的联系表中，我有一个 ReCaptcha 来做到这一点，但 API 端点不是“安全的”。

首先，我认为我可以通过“主机”检查来做到这一点......但该页面在客户端......

当页面交付给客户端时，创建令牌并在 API 端点上进行检查是正确的方法吗？

Answer 1

我假设您在谈论 CSRF 令牌。 这绝对是一种防止 CSRF 攻击的方法。 另一个选项可能是设置 cors 以仅允许特定来源访问您的 API 端点。