CSRF 保護 · laravel 5.4

<article><h1>Laravel 下的偽造跨站請求保護 CSRF</h1><ul><li><a href="#csrf-introduction">簡介</a></li><li><a href="#csrf-excluding-uris">CSRF 白名單</a></li><li><a href="#csrf-x-csrf-token">X-CSRF-Token</a></li><li><a href="#csrf-x-xsrf-token">X-XSRF-Token</a></li></ul><a name="csrf-introduction"></a><h2><a href="#csrf-introduction">簡介</a></h2>Laravel 提供了簡單的方法使你的應用免受 <a href="https://en.wikipedia.org/wiki/Cross-site_request_forgery">跨站請求偽造</a> (CSRF) 的襲擊。跨站請求偽造是一種惡意的攻擊，它憑借已通過身份驗證的用戶身份來運行未經過授權的命令。Laravel 為每個活躍用戶的 Session 自動生成一個 CSRF 令牌。該令牌用來核實應用接收到的請求是通過身份驗證的用戶出于本意發送的。任何情況下在你的應用程序中定義 HTML 表單時都應該包含 CSRF 令牌隱藏域，這樣 CSRF 保護中間件才可以驗證請求。輔助函數 <code class=" language-php">csrf_field</code> 可以用來生成令牌字段：<pre class=" language-php"><code class=" language-php"><form method="POST" action="/profile"> {{ csrf_field() }} ... </form></code></pre>包含在 <code class=" language-php">web</code> 中間件組里的 <code class=" language-php">VerifyCsrfToken</code> <a href="/docs/5.4/middleware">中間件</a>會自動驗證請求里的令牌 <code class=" language-php">token</code> 與 Session 中存儲的令牌 <code class=" language-php">token</code> 是否匹配。<a name="csrf-excluding-uris"></a><h2><a href="#csrf-excluding-uris">CSRF 白名單</a></h2>有時候你可能希望設置一組并不需要 CSRF 保護的 URI。例如，如果你正在使用 <a href="https://stripe.com">Stripe</a> 處理付款并使用了他們的 webhook 系統，你會需要將 Stripe webhook 處理的路由排除在 CSRF 保護外，因為 Stripe 并不知道發送給你路由的 CSRF 令牌是什么。一般地，你可以把這類路由放到 <code class=" language-php">web</code> 中間件外，因為 <code class=" language-php">RouteServiceProvider</code> 適用于 <code class=" language-php">routes/web.php</code> 中的所有路由。不過如果一定要這么做，你也可以將這類 URI 添加到 <code class=" language-php">VerifyCsrfToken</code> 中間件中的 <code class=" language-php">$except</code> 屬性來排除對這類路由的 CSRF 保護：<pre class=" language-php"><code class=" language-php"><?php namespace App\Http\Middleware; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /** * 這些 URI 會被免除 CSRF 驗證 * * @var array */ protected $except = [ 'stripe/*', ]; }</code></pre><a name="csrf-x-csrf-token"></a><h2><a href="#csrf-x-csrf-token">X-CSRF-TOKEN</a></h2>除了檢查 POST 參數中的 CSRF token 外，<code class=" language-php">VerifyCsrfToken</code> 中間件還會檢查 <code class=" language-php">X-CSRF-TOKEN</code> 請求頭。你可以將令牌保存在 HTML <code class=" language-php">meta</code> 標簽中：<pre class=" language-php"><code class=" language-php"><meta name="csrf-token" content="{{ csrf_token() }}"></code></pre>一旦創建了 <code class=" language-php">meta</code> 標簽，你就可以使用類似 jQuery 的庫將令牌自動添加到所有請求的頭信息中。這可以為您基于 AJAX 的應用提供簡單、方便的 CSRF 保護。<pre class=" language-php"><code class=" language-php">$.ajaxSetup({ headers: { 'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content') } });</code></pre><a name="csrf-x-xsrf-token"></a><h2><a href="#csrf-x-xsrf-token">X-XSRF-TOKEN</a></h2>Laravel 將當前的 CSRF 令牌存儲在由框架生成的每個響應中包含的一個<code class=" language-php">XSRF-TOKEN</code> cookie 中。你可以使用該令牌的值來設置 X-XSRF-TOKEN 請求頭信息。這個 cookie 作為頭信息發送主要是為了方便，因為一些 JavaScript 框架，如 Angular，會自動將其值添加到 <code class=" language-php">X-XSRF-TOKEN</code> 頭中.<h2>譯者署名</h2><table><thead><tr><th>用戶名</th><th>頭像</th><th>職能</th><th>簽名</th></tr></thead><tbody><tr><td><a href="http://weibo.com/wangkaibo">@王凱波</a></td><td><img class="avatar-66 rm-style" src="https://dn-phphub.qbox.me/uploads/avatars/1924_1487053084.jpeg?imageView2/1/w/100/h/100"></td><td>翻譯</td><td>面向工資編程 <a href="https://github.com/wangkaibo/">@wangkaibo</a></td></tr></tbody></table></article>