CSRF攻撃は、ユーザーを使用して不正な操作を?qū)g行することです。 Laravelは、Middleware verifycsRftokenディフェンスを使用して、Form Hidden Fields_Tokenを使用してリクエストの合法性を確認(rèn)します。 1。AJAXリクエストは、ヘッダーにXSRFトークンを運(yùn)ぶ必要があります。 2。CSRFは、デフォルトでAPIルーティングによって有効にされていません。ミドルウェアは手動(dòng)で追加する必要があります。 3.キャッシングページによりトークンが固定される可能性があるため、フォームまたはトークンの動(dòng)的荷重を含むキャッシュページを避ける必要があります。 CSRFをオフにすることは、Stateless APIやOAuth/JWT認(rèn)証の使用などのシナリオに適していますが、他のセキュリティメカニズムは信頼できる必要があります。

CSRF（クロスサイトリクエスト偽造）攻撃は、攻撃者がユーザーとして自慰行為をすることで認(rèn)証されたアプリケーションに悪意のあるリクエストを送信する一般的なセキュリティの脆弱性です。 Laravelでは、フレームワーク自體がそのような攻撃を防ぐための完全な一連のメカニズムを提供しますが、それがどのように機(jī)能するか、または不適切に使用されているかを理解していない場(chǎng)合、それはまだ隠された危険を殘す可能性があります。

CSRF攻撃とは何ですか？

簡(jiǎn)単に言えば、CSRFは、すでにログインされているユーザーのIDを使用し、ユーザーの知識(shí)なしに特定の操作を?qū)g行します。たとえば、銀行のWebサイトでアカウントにログインしてから悪意のあるWebサイトにアクセスすると、Webサイトは転送リクエストを自動(dòng)的に開(kāi)始します。銀行に予防策がない場(chǎng)合、それがあなた自身の事業(yè)であると誤って信じるかもしれません。

この攻撃が成功した理由は、ブラウザがCookieをターゲットWebサイトに自動(dòng)的に持ち込むことであり、サーバーはそれを開(kāi)始した要求があなたから來(lái)るかどうかを判斷できないためです。

LaravelはCSRFに対してどのように防御しますか？

Laravelは、主にミドルウェアVerifyCsrfTokenを介して実裝されているCSRF保護(hù)メカニズムをデフォルトで有効にします。そのコアロジックは次のとおりです。

• 各フォームに非表示の_tokenを追加します。これは、サーバーによって生成され、現(xiàn)在のセッションにバインドされているランダム値です。
• Laravelは、投稿、配置、パッチ、または削除要求が送信されるたびにトークンが合法であることを確認(rèn)します。
• トークンが一致しない、または欠落している場(chǎng)合、tokenmismatchexceptionの例外がスローされます。

さらに、Laravelは@csrf Bladeディレクティブを提供して、トークンフィールドを便利に挿入します。これは、すべての非Get形式で使用することをお?jiǎng)幛幛筏蓼埂?/p>

どのような狀況が見(jiàn)過(guò)ごされがちですか？

Laravelは多くの保護(hù)を行ってきましたが、実際の開(kāi)発では、次のポイントは問(wèn)題になりやすいです。

• Ajaxリクエストにはトークンが含まれていません。デフォルトでは、LaravelはXSRF-Tokensをヘッダーに持ち込むためにAJAX要求を要求します。メタタグをページに追加し、Axiosなどのライブラリを使用することにより、自動(dòng)的に処理できます。

   <meta name = "csrf-token" content = "{{csrf_token（）}}">

  その後、設(shè)定します：

   $ .ajaxsetup（{
      ヘッダー：{
          'x-csrf-token'：$（ 'meta [name = "csrf-token"]'）。attr（ 'content'）
      }
  }）;

• APIルーティングバイパスCSRF検証： api.phpルーティングファイルを使用している場(chǎng)合、デフォルトではwebミドルウェアグループを通過(guò)せず、CSRF検証は有効になりません。 APIインターフェイスをセッションベースのCSRF保護(hù)をサポートする場(chǎng)合は、関連するミドルウェアを手動(dòng)で追加する必要があります。

• キャッシュページはトークンの固定につながります。CSRFトークンを含むページをキャッシュすると、複數(shù)のユーザーが同じトークンを取得し、セキュリティリスクを引き起こす可能性があります。したがって、フォームを含むキャッシュページを避けるか、動(dòng)的にロードするトークンを使用してください。

CSRFはいつオフにできますか？

いくつかのシナリオでは、以下など、CSRF保護(hù)は実際には必要ありません。

• ステートレスAPI（モバイルなど）を作成する
• OAuthまたはJWT認(rèn)証メカニズムを使用します
• すべてのリクエストは、トークンベースを通じて検証されます

現(xiàn)時(shí)點(diǎn)では、ルートをwebミドルウェアグループから移動(dòng)するか、 VerifyCsrfTokenミドルウェアから特定のルートを直接除外することを選択できます。

ただし、CSRFをオフにすることにしたら、それを置き換えるために他のより安全な認(rèn)証メカニズムが既にあることを確認(rèn)してください。

基本的にそれだけです。

以上がLaravelでのCSRF攻撃の理解と防止？の詳細(xì)內(nèi)容です。詳細(xì)については、PHP 中國(guó)語(yǔ) Web サイトの他の関連記事を參照してください。