[PHP] - Laravel - CSRF token禁用方法

Posted smile001

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了[PHP] - Laravel - CSRF token禁用方法相关的知识,希望对你有一定的参考价值。

 

前文

CSRF攻击和漏洞的参考文章:

http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html

 

Laravel默认是开启了CSRF功能,需要关闭此功能有两种方法:

 


 

方法一

打开文件:app\\Http\\Kernel.php

把这行注释掉:

\'App\\Http\\Middleware\\VerifyCsrfToken\'

 

方法二

打开文件:app\\Http\\Middleware\\VerifyCsrfToken.php

修改为:

复制代码
<?php namespace App\\Http\\Middleware;

use Closure;
use Illuminate\\Foundation\\Http\\Middleware\\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier {

    /**
     * Handle an incoming request.
     *
     * @param  \\Illuminate\\Http\\Request  $request
     * @param  \\Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        // 使用CSRF
        //return parent::handle($request, $next);
        // 禁用CSRF
        return $next($request);
    }

}
复制代码

 

CSRF的使用有两种,一种是在html的代码中加入:

<input type="hidden" name="_token" value="{{ csrf_token() }}" />

另一种是使用cookie方式。

使用cookie方式,需要把app\\Http\\Middleware\\VerifyCsrfToken.php修改为:

复制代码
<?php namespace App\\Http\\Middleware;

use Closure;
use Illuminate\\Foundation\\Http\\Middleware\\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier {

    /**
     * Handle an incoming request.
     *
     * @param  \\Illuminate\\Http\\Request  $request
     * @param  \\Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        return parent::addCookieToResponse($request, $next($request));
    }

}
复制代码

使用cookie方式的CSRF,可以不用在每个页面都加入这个input的hidden标签。

 

当然,也可以对指定的表单提交方式使用CSRF,如:

复制代码
<?php namespace App\\Http\\Middleware;

use Closure;
use Illuminate\\Foundation\\Http\\Middleware\\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier {

    /**
     * Handle an incoming request.
     *
     * @param  \\Illuminate\\Http\\Request  $request
     * @param  \\Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        // Add this:
        if($request->method() == \'POST\')
        {
            return $next($request);
        }
        
        if ($request->method() == \'GET\' || $this->tokensMatch($request))
        {
            return $next($request);
        }
        throw new TokenMismatchException;
    }

}
复制代码

只对GET的方式提交使用CSRF,对POST方式提交表单禁用CSRF


 

 

修改CSRF的cookie名称方法

通常使用CSRF时,会往浏览器写一个cookie,如:

要修改这个名称值,可以到打开这个文件:vendor\\laravel\\framework\\src\\Illuminate\\Foundation\\Http\\Middleware\\VerifyCsrfToken.php

找到”XSRF-TOKEN“,修改它即可。

当然,你也可以在app\\Http\\Middleware\\VerifyCsrfToken.php文件中,重写addCookieToResponse(...)方法做到。


 

 

另外,如需要对指定的页面不使用CSRF,可以参考如下文章:

http://www.camroncade.com/disable-csrf-for-specific-routes-laravel-5/

以上是关于[PHP] - Laravel - CSRF token禁用方法的主要内容,如果未能解决你的问题,请参考以下文章

记 laravel 排除CSRF验证

八PHP框架Laravel学习笔记——表单伪造和 CSRF 保护

laravel 关闭 csrf 验证

本地主机上 laravel 5.3 中 ajax 发布请求中的 CSRF 令牌不匹配异常

Laravel:使用 Varnish 和 CSRF 令牌

在 Laravel 中设置 CSRF 保护的更好方法是啥?