浅谈Laravel框架的CSRF

前文

CSRF攻击和漏洞的参考文章：

http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html

 

Laravel默认是开启了CSRF功能，须要关闭此功能有两种方法：

 

---

 

方法一

打开文件：app\Http\Kernel.php

把这行注释掉：

'App\Http\Middleware\VerifyCsrfToken'

 

方法二

打开文件：app\Http\Middleware\VerifyCsrfToken.php

修改成：

<?php namespace App\Http\Middleware;

use Closure; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { // 使用CSRF //return parent::handle($request, $next); // 禁用CSRF return $next($request); } }

---

 

CSRF的使用有两种，一种是在HTML的代码中加入：

<input type="hidden" name="_token" value="{{ csrf_token() }}" />

另外一种是使用cookie方式。

使用cookie方式，须要把app\Http\Middleware\VerifyCsrfToken.php修改成：

<?php namespace App\Http\Middleware;

use Closure; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { return parent::addCookieToResponse($request, $next($request)); } }

使用cookie方式的CSRF，能够不用在每一个页面都加入这个input的hidden标签。

 

固然，也能够对指定的表单提交方式使用CSRF，如：

<?php namespace App\Http\Middleware;

use Closure; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { // Add this: if($request->method() == 'POST') { return $next($request); } if ($request->method() == 'GET' || $this->tokensMatch($request)) { return $next($request); } throw new TokenMismatchException; } }

只对GET的方式提交使用CSRF，对POST方式提交表单禁用CSRF

---

 

 

修改CSRF的cookie名称方法

一般使用CSRF时，会往浏览器写一个cookie，如：

要修改这个名称值，能够到打开这个文件：vendor\laravel\framework\src\Illuminate\Foundation\Http\Middleware\VerifyCsrfToken.php

找到”XSRF-TOKEN“，修改它便可。

固然，你也能够在app\Http\Middleware\VerifyCsrfToken.php文件中，重写addCookieToResponse(...)方法作到。

---

 

 

另外，如须要对指定的页面不使用CSRF，能够参考以下文章：

http://www.camroncade.com/disable-csrf-for-specific-routes-laravel-5/