Laravel中的CSRF

最新推荐文章于 2023-03-22 23:05:01 发布

weixin_34124939

最新推荐文章于 2023-03-22 23:05:01 发布

阅读量177

点赞数

CC 4.0 BY-SA版权

文章标签： php 测试

原文链接：https://segmentfault.com/a/1190000010186265

本文介绍了Laravel框架中如何通过生成唯一token并进行验证来防止跨站点请求伪造(CSRF)攻击，确保用户数据安全。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

跨站点请求伪造CSRF攻击

攻击者盗用用户身份，通过伪造的身份以用户的名义进行非法请求从而在未经用户许可下完成某些非法操作。

Laravel的CSRF处理

在开启session时为每个session分配一个token

public function regenerateToken() {
```
$this->put('_token', Str::random(40));
```
}

引入VerifyCsrfToken中间件后在handle里进行核心处理

public function handle($request, Closure $next)
{

if (
    $this->isReading($request) ||
    $this->runningUnitTests() ||
    $this->inExceptArray($request) ||
    $this->tokensMatch($request)
) {
    return $this->addCookieToResponse($request, $next($request));
}

throw new TokenMismatchException;

}

- `$this->isReading()`判断请求是否是`['HEAD', 'GET', 'OPTIONS']`这三种请求。
- `$this->runningUnitTests()`判断程序是否正在进行单元测试。
- `$this->inExceptArray()`判断请求是否需要进行Crsf验证。
- `$this->tokensMatch()`进行token验证。

        protected function tokensMatch($request)
        {
            // 获取请求url中的token
            $token = $this->getTokenFromRequest($request);
    
            return is_string($request->session()->token()) &&
                   is_string($token) &&
                   hash_equals($request->session()->token(), $token);
        }

        protected function getTokenFromRequest($request)
        {
            $token = $request->input('_token') ?: $request->header('X-CSRF-TOKEN');
    
            if (! $token && $header = $request->header('X-XSRF-TOKEN')) {
                $token = $this->encrypter->decrypt($header);
            }
    
            return $token;
        }

验证通过后将csrf token加入响应包的cookie里,然后通过验证将请求通过next递交给下一个处理件。

protected function addCookieToResponse($request, $response)
{

$config = config('session');

$response->headers->setCookie(
    new Cookie(
        'XSRF-TOKEN', $request->session()->token(), Carbon::now()->getTimestamp() + 60 * $config['lifetime'],
        $config['path'], $config['domain'], $config['secure'], false
    )
);

return $response;

}