宁泽林_NiZerin - 互联网技术博客

  • PHP
  • Go
  • Java
  • Rust
  • Python
  • 交流群
  • 关于我
  • 留言版
  1. 首页
  2. Laravel
  3. 正文

Laravel - CSRF token 禁用方法

2019年4月17日 2620点热度 0人点赞 0条评论

前文

最近项目开发,使用 postman 测试接口,一直测试不过,然后就想办法把 CSRF 验证关掉。
其实在网上查了一下 CSRF 验证还是蛮重要的,CSRF 攻击和漏洞的参考文章:
http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html

Laravel 默认是开启了 CSRF 功能,需要关闭此功能有两种方法:

方法一

打开文件:app\Http\Kernel.php
把这行注释掉:

'App\Http\Middleware\VerifyCsrfToken'

方法二

打开文件:app\Http\Middleware\VerifyCsrfToken.php
修改为:

<?php namespace App\Http\Middleware;
use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;
class VerifyCsrfToken extends BaseVerifier {
    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        // 使用CSRF
        //return parent::handle($request, $next);
        // 禁用CSRF
        return $next($request);
    }
}

CSRF 的使用有两种,一种是在 HTML 的代码中加入:

<input type="hidden" name="_token" value="{{ csrf_token() }}" />

另一种是使用 cookie 方式。
使用 cookie 方式,需要把 app\Http\Middleware\VerifyCsrfToken.php 修改为:

<?php namespace App\Http\Middleware;
use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;
class VerifyCsrfToken extends BaseVerifier {
    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        return parent::addCookieToResponse($request, $next($request));
    }
}

使用 cookie 方式的 CSRF ,可以不用在每个页面都加入这个 input 的 hidden 标签。
当然,也可以对指定的表单提交方式使用 CSRF ,如:

<?php namespace App\Http\Middleware; use Closure; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed */
    public function handle($request, Closure $next)
    { // Add this:
        if($request->method() == 'POST')
        { return $next($request);
        } if ($request->method() == 'GET' || $this->tokensMatch($request))
        { return $next($request);
        } throw new TokenMismatchException;
    }
}

只对 GET 的方式提交使用 CSRF ,对 POST 方式提交表单禁用 CSRF 。

修改 CSRF 的 cookie 名称方法

通常使用 CSRF 时,会往浏览器写一个 cookie ,如:

https://images0.cnblogs.com/blog2015/6088/201506/051826451136010.png

要修改这个名称值,可以到打开这个文件:

vendor\laravel\framework\src\Illuminate\Foundation\Http\Middleware\VerifyCsrfToken.php

找到 XSRF-TOKEN ,修改它即可。 (不建议这么做)

当然,你也可以在 app\Http\Middleware\VerifyCsrfToken.php 文件中,重写 addCookieToResponse(...) 方法做到。

另外,如需要对指定的页面不使用 CSRF,可以参考如下文章:
http://www.camroncade.com/disable-csrf-for-specific-routes-laravel-5/

本作品采用 知识共享署名 4.0 国际许可协议 进行许可
标签: laravel php
最后更新:2019年4月17日

NiZerin

博主已经躺平了,后面很少会更新博客。

打赏 点赞
< 上一篇
下一篇 >

文章评论

razz evil exclaim smile redface biggrin eek confused idea lol mad twisted rolleyes wink cool arrow neutral cry mrgreen drooling persevering
取消回复

分类
  • Angular
  • CSS3
  • docker
  • Flutter
  • git
  • Go
  • H5
  • Java
  • JavaScript
  • Laravel
  • linux
  • Node.js
  • PHP
  • Python
  • React
  • redis
  • Vue.js
  • windows
  • WordPress
  • 交流
  • 小程序
  • 工具
  • 网站公告
标签聚合
laravel javascript flutter vue php translations go wordpress
友情链接
  • PHP函数字典
  • 宝塔运维特惠
  • 科学上网
  • 阿里云特惠

COPYRIGHT © 2021 nizer.in. ALL RIGHTS RESERVED.

Theme Kratos Made By Seaton Jiang