如何从 Node.js/Express 中的请求中检索实体主体（用于 CSP 违规报告）？

Question

我有兴趣为我的 Node.js 应用程序实施内容安全策略 (CSP)。 Mozilla 的文档相当有帮助，但我对如何启用违规报告感到困惑。我了解它们工作原理的基本前提（浏览器向指定 URL 发送 POST 请求以通知网站违规），但无法弄清楚在哪里可以找到描述 HTTP 请求中违规的 JSON 文档。也许这对于更熟悉 HTTP 规范的人来说是显而易见的。

查看 针对 CSP 的 W3C 草案，我确定 JSON 包含在 HTTP 中称为“实体正文”的部分中。我仍然不知道该实体的目的是什么（我能找到的关于此事的唯一稍微有用的页面是来自 HTTP 规范的页面）。我假设它是请求的正文。

也许更重要的是，我找不到任何方法来检索实体主体的内容。我想过使用 req.header('entity-body') 但这不起作用，因为实体不是 HTTP 标头。它是什么以及如何获取它？

（此外，我尝试查找有关如何在 Node.js 中实现 CSP 违规报告的教程，但一无所获。我确实找到了一个 PHP 的教程，但它并不是特别有用，引用了 file_get_contents('php://input ') 我在 Node.js/Express 中没有类似的东西。）

任何帮助将不胜感激。

Answer 1

事实证明我对事情分析过度了。您所需要做的就是为express启用express.bodyParser()中间件，然后在POST事件处理程序中获取req.body。这将检索包含 JSON 违规报告的 HTTP 请求正文。

启用中间件：

var server = express.createServer(
    // other middleware here
    express.bodyParser()
);

检索违规报告：

server.post('/csp/', function(req, res) {
    console.log(req.body);
});

Answer 2

我在让我的 Express 应用程序以 Nginx 为前端来报告 csp 违规 时遇到了一些困难，我从上面的答案中学到的两件事是：

1. 应该是 POST code> 方法而不是 GET 方法
2. req.body 包含报告

但是，以上还不够，我一直得到空的 req.body 和我找不到任何其他帖子来描述如何修复它。经过一番研究后，我发现了这篇帖子以及一个完全孤立的帖子github issue 其中 dougwilson 给出了将路由放置在何处的提示处理csp 报告。

req.body 对我来说为空的原因是因为我将 csp 报告 路由处理程序放置在以下配置之后：

app.use(bodyParser.json());
app.use(bodyParser.urlencoded({ extended: true }));
app.use(cookieParser());

我移动了 csp 报告上面的路由处理程序，但是，我仍然不断收到空的 req.body 然后我在上面添加了以下 csp report 路由处理程序以获取 req.body< 中的报告/code>

app.use(bodyParser.json({ type: 'application/csp-report' }));

在 csp 上面添加以上行后report 请求处理程序，Express 理解它应该解析 Content-type 为 application/csp-report 的请求。

也许Express默认情况下不会解析application/csp-report，并添加上面的内容为我解决了问题。我还用谷歌搜索了Express默认情况下是否解析application/csp-report，我发现了这个要点 声称 Chrome 发送 application/csp-report 而 Firefox 发送application/json （我使用的是 Chrome - 如果您遇到 FF 问题，您也可以包含 application/json）。

这就是我的 app.js 中的样子。OP

// without following csp-report don't get parsed.
app.use(bodyParser.json({ type: 'application/csp-report' }));

app.get('/vehicle/cspreport', function(req, res) {
  res.status(403);
});

app.post('/vehicle/cspreport', function(req, res) {
  console.log('csp report > ' + JSON.stringify(req.body));
});

app.use(bodyParser.json());
app.use(bodyParser.urlencoded({ extended: true }));
app.use(cookieParser());
...

发布的接受答案来自 2011，我想添加一个答案来展示我如何解决这个问题 < code>2016 包含以下 Node.js、Express 和 Nginx 版本

Node: v4.2.4
Express: 4.13.1 
Nginx: 1.8.1