@fastify/passport — это порт библиотеки аутентификации passport для экосистемы Fastify. Защита CSRF (Cross-Site Request Forger), обеспечива…

@fastify/passport — это порт библиотеки аутентификации passport для экосистемы Fastify. Защита CSRF (Cross-Site Request Forger), обеспечиваемая библиотекой `@fastify/csrf-protection` в сочетании с `@fastify/passport` в затронутых версиях, может быть обойдена сетевыми злоумышленниками и злоумышленниками, находящимися в том же сайте. `fastify/csrf-protection` реализует шаблон токена синхронизатора (используя плагины `@fastify/session` и `@fastify/secure-session`), сохраняя случайное значение, используемое для генерации CSRF-токена, в атрибуте `_csrf` сеанса пользователя. Библиотека `@fastify/passport` не очищает объект сеанса после аутентификации, сохраняя атрибут `_csrf` между сеансами до входа в систему и аутентифицированными сеансами. Следовательно, CSRF-токены, сгенерированные до аутентификации, остаются действительными. Таким образом, сетевые злоумышленники и злоумышленники, находящиеся в том же сайте, могут получить CSRF-токен для своего предварительного сеанса, зафиксировать этот предварительный сеанс в браузере жертвы посредством перебрасывания cookie, а затем выполнить CSRF-атаку после аутентификации жертвы. В качестве решения новые версии `@fastify/passport` включают параметры конфигурации: `clearSessionOnLogin (по умолчанию: true)` и `clearSessionIgnoreFields (по умолчанию: ['passport', 'session'])` для очистки всех атрибутов сеанса по умолчанию, сохраняя те, которые явно определены в `clearSessionIgnoreFields`.