laravel的csrf
来源:互联网 发布:集成电路计算机的软件 编辑:程序博客网 时间:2024/05/04 04:56
前文
CSRF攻击和漏洞的参考文章:
http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html
Laravel默认是开启了CSRF功能,需要关闭此功能有两种方法:
方法一
打开文件:app\Http\Kernel.php
把这行注释掉:
'App\Http\Middleware\VerifyCsrfToken'
方法二
打开文件:app\Http\Middleware\VerifyCsrfToken.php
修改为:
<?php namespace App\Http\Middleware;use Closure;use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { // 使用CSRF //return parent::handle($request, $next); // 禁用CSRF return $next($request); }}
CSRF的使用有两种,一种是在HTML的代码中加入:
<input type="hidden" name="_token" value="{{ csrf_token() }}" />
另一种是使用cookie方式。
使用cookie方式,需要把app\Http\Middleware\VerifyCsrfToken.php修改为:
<?php namespace App\Http\Middleware;use Closure;use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { return parent::addCookieToResponse($request, $next($request)); }}
使用cookie方式的CSRF,可以不用在每个页面都加入这个input的hidden标签。
当然,也可以对指定的表单提交方式使用CSRF,如:
<?php namespace App\Http\Middleware;use Closure;use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { // Add this: if($request->method() == 'POST') { return $next($request); } if ($request->method() == 'GET' || $this->tokensMatch($request)) { return $next($request); } throw new TokenMismatchException; }}
只对GET的方式提交使用CSRF,对POST方式提交表单禁用CSRF
修改CSRF的cookie名称方法
通常使用CSRF时,会往浏览器写一个cookie,如:
要修改这个名称值,可以到打开这个文件:vendor\laravel\framework\src\Illuminate\Foundation\Http\Middleware\VerifyCsrfToken.php
找到”XSRF-TOKEN“,修改它即可。
当然,你也可以在app\Http\Middleware\VerifyCsrfToken.php文件中,重写addCookieToResponse(...)方法做到。
另外,如需要对指定的页面不使用CSRF,可以参考如下文章:
http://www.camroncade.com/disable-csrf-for-specific-routes-laravel-5/
- laravel的csrf
- csrf laravel
- laravel csrf
- Laravel CSRF
- laravel中关闭CSRF的方法
- laravel中关闭CSRF的方法
- Laravel-csrf验证错误
- Laravel CSRF保护
- Laravel 报错 CSRF not found的处理办法
- Laravel - CSRF token禁用方法
- Laravel框架学习(CSRF)
- laravel csrf使用以及禁用
- Laravel - CSRF token禁用方法
- Laravel源码分析----CSRF处理
- laravel的 csrf 防御机制详解,form 中 csrf_token() 的存在
- [PHP] - Laravel - CSRF token禁用方法
- 转--Laravel框架学习(CSRF)
- Laravel 框架指定路由关闭 csrf
- Json网页格式化展示
- linux ps -l 命令详解
- 安卓版本更新
- V8世界探险 (1) - v8 API概览
- 使用springMVC+MyBatis的分页功能
- laravel的csrf
- spring mvc 多个文件上传 未选择文件可提交form
- 压力测试工具:Loader
- webService的工作原理详解
- wpf Devexpress gricontrol格式化显示数据
- unity性能优化
- java开发小收集
- 关于android studio 安装app出现Instant run requires 'tools |android| enable adb integration' to be enabled
- finally块