防止我的 React / Gatsby 聯系表被劫持

Question

我有一個 Gatsby (React) 頁面，其中包含一個將參數發送到 API 端點的聯系表單。 該表單位於瀏覽器客戶端。

該 Api Endpoint 發送到電子郵件服務提供商，到目前為止一切順利。

但是我如何防止人們直接向該端點/api/contact-form 發送電子郵件，在我的聯系表中，我有一個 ReCaptcha 來做到這一點，但 API 端點不是“安全的”。

首先，我認為我可以通過“主機”檢查來做到這一點......但該頁面在客戶端......

當頁面交付給客戶端時，創建令牌並在 API 端點上進行檢查是正確的方法嗎？

Answer 1

我假設您在談論 CSRF 令牌。 這絕對是一種防止 CSRF 攻擊的方法。 另一個選項可能是設置 cors 以僅允許特定來源訪問您的 API 端點。