Go 的 http.ServeMux 默认不防 CSRF，需手动实现 Token 校验：服务端生成、绑定 session、双向验证；Token 要一次性或短时效、禁放 URL、存 session.Values、用 crypt/rand 安全生成、长度≥32 字节、前端模板显式传入并正确渲染。
Go 的 http.ServeMux 默认不防 CSRF，得自己加 Token 校验
Go 标准库的 HTTP 服务本身不内置 CSRF 防护，net/http 不会自动签发、校验或绑定 Token。你看到表单提交成功，不代表请求合法——只要攻击者能构造出带正确参数的 POST 请求（比如用恶意页面自动提交），就可能绕过身份判断。
关键不是“有没有 Token”，而是 Token 是否满足三个条件：由服务端生成、与当前用户 session 绑定、每次表单提交时双向验证（渲染时塞进 hidden 字段，接收时比对）。
-
http.Request.FormValue("csrf_token")和 session 中存的值必须严格相等，不能只检查非空 - Token 必须一次性使用（尤其敏感操作），或带短时效（如 30 分钟），避免泄露后长期有效
- 不要把 Token 放在 URL 查询参数里——会被日志、Referer、代理缓存记录
- 如果用了
gorilla/sessions，Token 应存在session.Values["csrf_token"]，而非全局变量或内存 map
用 gorilla/csrf 是最省事但容易配错的方式
第三方库 gorilla/csrf 封装了 Token 生成、注入、校验全流程，但它默认行为和常见 Web 框架差异大，新手常掉坑里。
- 它默认要求所有 POST/PUT/DELETE 请求都带 Token，连健康检查接口
/healthz都会 403，得用csrf.SkipNext()显式放行 - Token 字段名默认是
_csrf，但前端写成csrf_token就校验失败，必须统一：csrf.TokenName("csrf_token") - 如果用了反向代理（如 Nginx），且没透传
X-Forwarded-Proto或X-Forwarded-For，gorilla/csrf可能因协议误判（HTTP 当 HTTPS）拒绝 Token - 它默认从 Cookie 读 Token（
_gorilla_csrf），但如果你用的是自定义 session 存储（如 Redis），得配csrf.Secure(false)并关掉 SameSite=Strict
手写 Token 生成时，别直接用 rand.Read() 做随机源
CSRF Token 的安全性依赖于不可预测性。用 math/rand 或简单时间戳拼接，等于没设防。
立即学习“go语言免费学习笔记（深入）”；
- 必须用
crypt/rand.Read()生成字节，再转 Base64 或 Hex，例如：crypt/rand.Read(buf)而不是rand.Read(buf) - 长度至少 32 字节（256 bit），太短易被暴力穷举；Base64 编码后约 44 字符，够用
- 不要把用户 ID、时间戳、IP 拼进去当 Token——这些信息可被猜测，反而降低熵值
- 生成后立即存入 session（如
session.Set("csrf", token)），并设置MaxAge: 1800（30 分钟），超时即失效
前端渲染表单时，template.Execute() 容易漏传 Token 变量
Go 模板本身不感知安全上下文，Token 不会自动注入。漏传、传错变量名、或模板缓存旧值，都会导致前端拿不到 Token，提交必失败。
- 后端渲染前必须显式传参：
tmpl.Execute(w, map[string]interface{}{"CSRFToken": token})，不能依赖中间件“悄悄塞进去” - 模板里写
<input type="hidden" name="csrf_token" value="{{.CSRFToken}}">，注意大小写和点号引用，{{.csrf_token}}会为空 - 如果用了 HTML 模板嵌套（
{{template "form" .}}），确保子模板也能访问到.CSRFToken，否则子模板渲染时值为 nil - 开发时用浏览器 DevTools 查看源码，确认 hidden input 存在且 value 非空；空值或
undefined说明后端根本没传或 session 写失败
最麻烦的不是写逻辑，是 Token 生命周期和上下文的一致性——session 过期了但前端页面还开着，Token 就失效；Ajax 提交时没带 header，gorilla/csrf 会静默拒绝；甚至测试时用 curl 忘了加 Cookie，也以为是代码 bug。这些地方不打日志，问题很难定位。
