Laravel源码分析----CSRF处理

最新推荐文章于 2023-03-22 23:05:01 发布

原创

最新推荐文章于 2023-03-22 23:05:01 发布 · 715 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#csrf

本文探讨了跨站点请求伪造(CSRF)攻击的概念，以及Laravel框架如何有效地处理这种安全威胁。Laravel在开启session时为每个用户分配一个唯一的token，并通过VerifyCsrfToken中间件进行核心处理，包括特定请求类型的排除、单元测试状态检查和token验证。验证通过后，token会被存储在响应的cookie中，确保请求的安全性。

跨站点请求伪造CSRF攻击

攻击者盗用用户身份，通过伪造的身份以用户的名义进行非法请求从而在未经用户许可下完成某些非法操作。

Laravel的CSRF处理

在开启session时为每个session分配一个token

public function regenerateToken() {
    $this->put('_token', Str::random(40));
}

引入VerifyCsrfToken中间件后在handle里进行核心处理

public function handle($request, Closure $next)
{
    if (
        $this->isReading($request) ||
        $this->runningUnitTests() ||
        $this->inExceptArray($request) ||
        $this->tokensMatch($request)
    ) {
        return $this->addCookieToResponse($request, $next($request));
    }

    throw new TokenMismatchException;
}