Laravel - CSRF 保护

你好，新兴的开发者们！今天，我们将深入了解Laravel中的CSRF保护。如果你是编程新手，不用担心；我会一步一步地引导你，就像我在多年的教学中对无数学生所做的那样。让我们一起开始这段激动人心的旅程！

Laravel - CSRF Protection

CSRF是什么？

在我们跳入Laravel的实现之前，让我们先了解一下CSRF是什么。CSRF代表跨站请求伪造。想象一下，你正在咖啡店里，享受着拿铁，同时在笔记本电脑上查看你的银行账户。突然，坐在你附近的一个恶作剧黑客诱使你的浏览器向他们的账户转账。这就是CSRF在行动！

为什么CSRF保护很重要？

CSRF攻击可能是毁灭性的。它们可能导致未经授权的操作在经过身份验证的用户名下执行。在我们的咖啡店场景中，你可能会失去辛苦赚来的钱！这就是为什么我们需要CSRF保护，而Laravel为我们提供了支持。

Laravel的CSRF保护实现

Laravel使你能够轻松地保护你的应用程序免受CSRF攻击。让我们来探究它是如何工作的。

CSRF令牌

Laravel CSRF保护的核心是一个唯一的令牌。你可以将这个令牌想象成你的应用程序和用户浏览器之间的秘密握手。

以下是如何在表单中包含这个令牌的方法：

<form method="POST" action="/profile">
@csrf
...
</form>

@csrf指令会生成一个包含CSRF令牌的隐藏输入字段。这就像给你的表单一个秘密密码！

CSRF验证中间件

Laravel使用中间件来验证每个POST、PUT、PATCH或DELETE请求的CSRF令牌。这就像在俱乐部的入口处有一个安全警卫检查身份证。

以下是幕后中间件的模样：

<?php

namespace App\Http\Middleware;

use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as Middleware;

class VerifyCsrfToken extends Middleware
{
/**
* 应该排除在CSRF验证之外的URIs。
*
* @var array
*/
protected $except = [
//
];
}

这个中间件自动应用于所有Web路由。这就像有一个无形的盾牌保护着你的应用程序！

从CSRF保护中排除URL

有时，你可能希望某些URL绕过CSRF保护。例如，如果你正在构建其他应用程序将使用的API。你可以通过将它们添加到VerifyCsrfToken中间件中的$except数组来排除这些URL：

protected $except = [
'api/*',
'webhook/*',
];

这就好比给某些VIP发放通行证，让他们在俱乐部入口处跳过安全检查。

X-CSRF-TOKEN

对于AJAX请求，Laravel允许你在一个名为X-CSRF-TOKEN的自定义HTTP头中发送CSRF令牌。以下是如何设置：

<meta name="csrf-token" content="{{ csrf_token() }}">

然后，在你的JavaScript中（以jQuery为例）：

$.ajaxSetup({
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
});

这就好比给你的AJAX请求一个特殊徽章，上面写着：“我是授权的！”

X-XSRF-TOKEN

Laravel还在名为XSRF-TOKEN的cookie中设置了一个CSRF令牌。许多JavaScript框架，如Angular，会自动使用这个cookie。

如果你不使用这些框架，你可以手动发送令牌：

var token = document.head.querySelector('meta[name="csrf-token"]');

if (token) {
window.axios.defaults.headers.common['X-CSRF-TOKEN'] = token.content;
} else {
console.error('CSRF token not found: https://laravel.com/docs/csrf#csrf-x-csrf-token');
}

这就好比给你的应用程序一个秘密解码器来验证请求！

CSRF保护方法

以下是我们讨论过的CSRF保护方法的总结：

方法	描述
@csrf指令	生成一个包含CSRF令牌的隐藏输入字段
VerifyCsrfToken中间件	自动验证POST、PUT、PATCH、DELETE请求的CSRF令牌
X-CSRF-TOKEN头	允许在AJAX请求的自定义HTTP头中发送CSRF令牌
XSRF-TOKEN cookie	在cookie中设置CSRF令牌供JavaScript框架使用

结论

那么，未来的编码巫师们，我们已经穿越了Laravel中的CSRF保护领域。记住，保护你的应用程序安全至关重要，而Laravel使之变得比以往任何时候都简单。

就像我总是告诉我的学生那样，将CSRF保护视为最热门俱乐部中的保镖。它确保只有授权的请求通过，从而保护你的应用程序免受淘气派对闯入者的侵害。

继续练习，保持好奇心，在你意识到之前，你将像专业人士一样构建安全的Laravel应用程序！快乐编码！

Credits: Image by storyset