VerifyCsrfToken 是Laravel 中防止CSRF 攻擊的中間件，其核心機(jī)制是通過(guò)驗(yàn)證請(qǐng)求中的CSRF Token 來(lái)確保請(qǐng)求來(lái)源合法。 1. 它在用戶訪問(wèn)表單頁(yè)面時(shí)生成唯一Token 並嵌入表單；2. 提交時(shí)驗(yàn)證Token 是否一致，否則拒絕請(qǐng)求；3. 主要驗(yàn)證POST、PUT、PATCH、DELETE 請(qǐng)求，GET 請(qǐng)求默認(rèn)不驗(yàn)證；4. 可通過(guò)在$except 屬性中添加路由跳過(guò)驗(yàn)證，但需謹(jǐn)慎使用；5. 對(duì)於SPA 或API 場(chǎng)景建議使用Sanctum 或Passport 管理Token。
VerifyCsrfToken 是Laravel 框架中用於防止跨站請(qǐng)求偽造（CSRF）攻擊的一種中間件。簡(jiǎn)單來(lái)說(shuō)，它通過(guò)驗(yàn)證請(qǐng)求中是否包含合法的CSRF Token 來(lái)確保請(qǐng)求是由用戶主動(dòng)發(fā)起的，而不是被第三方網(wǎng)站誘導(dǎo)發(fā)起的惡意請(qǐng)求。
Laravel 默認(rèn)啟用了這個(gè)中間件，並且它已經(jīng)包含在了全局中間件組中。這意味著大部分進(jìn)入應(yīng)用的請(qǐng)求都會(huì)經(jīng)過(guò)它的檢查。
它是怎麼工作的？
VerifyCsrfToken 的核心機(jī)制是使用令牌（token）來(lái)驗(yàn)證請(qǐng)求來(lái)源的合法性：
- 生成Token ：當(dāng)用戶訪問(wèn)一個(gè)帶有表單的頁(yè)面時(shí)，Laravel 會(huì)自動(dòng)生成一個(gè)唯一的CSRF Token，並把它嵌入到表單中（通常是一個(gè)隱藏字段）。
- 提交驗(yàn)證：當(dāng)用戶提交表單時(shí)，中間件會(huì)檢查提交的Token 是否與服務(wù)器端存儲(chǔ)的一致。如果不一致或缺失，請(qǐng)求將被拒絕（返回419 或500 錯(cuò)誤）。
除了HTML 表單，如果你是在用JavaScript（比如Axios）發(fā)送POST 請(qǐng)求，你需要額外配置token 的傳遞方式，通常是放在請(qǐng)求頭里。
哪些請(qǐng)求會(huì)被驗(yàn)證？
VerifyCsrfToken 並不是對(duì)所有請(qǐng)求都進(jìn)行驗(yàn)證。它主要針對(duì)那些可能修改狀態(tài)的請(qǐng)求方法，例如：
-
POST -
PUT -
PATCH -
DELETE
而像GET這類(lèi)只讀請(qǐng)求，默認(rèn)是不會(huì)驗(yàn)證CSRF Token 的，因?yàn)樗鼈儾粦?yīng)該改變應(yīng)用的狀態(tài)。
如何繞過(guò)某些路由的驗(yàn)證？
有時(shí)候你可能會(huì)遇到一些不需要CSRF 驗(yàn)證的接口，比如API 路由或者外部服務(wù)回調(diào)地址。這時(shí)候你可以通過(guò)以下方式跳過(guò)驗(yàn)證：
- 打開(kāi)
App\Http\Middleware\VerifyCsrfToken類(lèi) - 在
$except屬性中添加需要排除的路由路徑
protected $except = [
'api/*',
'webhook/stripe',
];這樣這些路徑下的請(qǐng)求就不會(huì)受到VerifyCsrfToken 的限制。
需要注意的是，跳過(guò)CSRF 驗(yàn)證可能會(huì)帶來(lái)安全風(fēng)險(xiǎn)，所以只應(yīng)在必要的情況下使用。
實(shí)際開(kāi)發(fā)中的一些細(xì)節(jié)
- 如果你在開(kāi)發(fā)SPA（如Vue Laravel API），建議使用Laravel 的
sanctum或passport來(lái)處理認(rèn)證和Token 管理，而不是依賴傳統(tǒng)的CSRF Token。 - 使用Blade 模板引擎時(shí)，可以使用
@csrf指令快速插入CSRF Token 字段。 - 對(duì)於AJAX 請(qǐng)求，確保前端正確攜帶
_token參數(shù)，或者設(shè)置好XSRF-TOKEN請(qǐng)求頭。
基本上就這些。 VerifyCsrfToken 是一個(gè)很基礎(chǔ)但非常關(guān)鍵的安全防護(hù)機(jī)制，雖然看起來(lái)不復(fù)雜，但在實(shí)際開(kāi)發(fā)中很容易忽略一些細(xì)節(jié)導(dǎo)致出錯(cuò)。
以上是什麼是驗(yàn)證中間件？的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動(dòng)的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門(mén)文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開(kāi)發(fā)環(huán)境
Dreamweaver CS6
視覺(jué)化網(wǎng)頁(yè)開(kāi)發(fā)工具
SublimeText3 Mac版
神級(jí)程式碼編輯軟體(SublimeText3)
熱門(mén)話題
如何在Laravel中使用中間件進(jìn)行資料恢復(fù)
Nov 02, 2023 pm 02:12 PM
Laravel是一個(gè)流行的PHPWeb應(yīng)用程式框架，提供了許多快速且簡(jiǎn)單的方式來(lái)建立高效、安全且可擴(kuò)展的Web應(yīng)用程式。在開(kāi)發(fā)Laravel應(yīng)用程式時(shí)，我們經(jīng)常需要考慮資料恢復(fù)的問(wèn)題，即如何在資料遺失或損壞的情況下恢復(fù)資料並保證應(yīng)用程式的正常運(yùn)作。在本文中，我們將介紹如何使用Laravel中間件來(lái)實(shí)現(xiàn)資料復(fù)原功能，並提供具體的程式碼範(fàn)例。一、什麼是Lara
如何在Laravel中使用中間件處理表單驗(yàn)證
Nov 02, 2023 pm 03:57 PM
如何在Laravel中使用中間件處理表單驗(yàn)證，需要具體程式碼範(fàn)例引言：在Laravel中，表單驗(yàn)證是非常常見(jiàn)的任務(wù)。為了確保使用者輸入的資料的有效性和安全性，我們通常會(huì)對(duì)表單提交的資料進(jìn)行驗(yàn)證。 Laravel提供了一個(gè)方便的表單驗(yàn)證功能，同時(shí)也支援使用中間件來(lái)處理表單驗(yàn)證。本文將詳細(xì)介紹如何在Laravel中使用中間件處理表單驗(yàn)證，並提供具體的程式碼範(fàn)例
tomcat中間件原理是什麼
Dec 27, 2023 pm 04:40 PM
tomcat中間件原理是基於Java Servlet和Java EE規(guī)格來(lái)實(shí)現(xiàn)的。 Tomcat作為Servlet容器，負(fù)責(zé)處理HTTP請(qǐng)求和回應(yīng)，提供Web應(yīng)用程式的運(yùn)作環(huán)境。 Tomcat中間件的原理主要涉及：1、容器模型；2、元件化架構(gòu)；3、Servlet處理機(jī)制；4、事件監(jiān)聽(tīng)和過(guò)濾器；5、組態(tài)管理；6、安全性；7、叢集和負(fù)載平衡； 8、連接器技術(shù)；9、嵌入式模式等等。
Laravel中的跨站腳本攻擊（XSS）和跨站請(qǐng)求偽造（CSRF）防護(hù)
Aug 13, 2023 pm 04:43 PM
Laravel中的跨站腳本攻擊（XSS）和跨站請(qǐng)求偽造（CSRF）防護(hù)隨著互聯(lián)網(wǎng)的發(fā)展，網(wǎng)路安全問(wèn)題也變得越來(lái)越嚴(yán)峻。其中，跨站腳本攻擊（Cross-SiteScripting，XSS）和跨站請(qǐng)求偽造（Cross-SiteRequestForgery，CSRF）是最常見(jiàn)的攻擊手段之一。 Laravel作為一款受歡迎的PHP開(kāi)發(fā)框架，為使用者提供了多種安全機(jī)
如何在Laravel中使用中間件進(jìn)行回應(yīng)轉(zhuǎn)換
Nov 03, 2023 am 09:57 AM
如何在Laravel中使用中間件進(jìn)行回應(yīng)轉(zhuǎn)換中間件是Laravel框架中非常強(qiáng)大且實(shí)用的功能之一。它允許我們?cè)谡?qǐng)求進(jìn)入控制器之前或回應(yīng)被發(fā)送給客戶端之前，對(duì)請(qǐng)求和回應(yīng)進(jìn)行處理。在本文中，我將示範(fàn)如何使用中間件在Laravel中進(jìn)行回應(yīng)轉(zhuǎn)換。在開(kāi)始之前，確保你已經(jīng)安裝了Laravel並創(chuàng)建了一個(gè)新的專(zhuān)案。現(xiàn)在，我們將按照以下步驟進(jìn)行操作：建立一個(gè)新的中間件打開(kāi)
在Slim框架中使用中間件（Middleware）設(shè)定跨域資源共享（CORS）的方法
Jul 30, 2023 pm 08:34 PM
在Slim框架中使用中間件（Middleware）設(shè)定跨域資源共享（CORS）的方法跨域資源共享（CORS）是一種機(jī)制，允許伺服器在HTTP響應(yīng)頭中設(shè)定一些額外的信息，來(lái)告知瀏覽器是否允許跨域請(qǐng)求。在一些前後端分離的專(zhuān)案中，使用CORS機(jī)制可以實(shí)現(xiàn)前端跨域請(qǐng)求後端介面的需求。在使用Slim框架開(kāi)發(fā)RESTAPI時(shí)，我們可以使用中間件（Middleware）
如何在Laravel中使用中間件進(jìn)行資料加速
Nov 02, 2023 am 09:40 AM
如何在Laravel中使用中間件進(jìn)行資料加速引言：在使用Laravel框架開(kāi)發(fā)Web應(yīng)用程式時(shí)，資料加速是提高應(yīng)用程式效能的關(guān)鍵。中間件是Laravel提供的重要功能，可以在請(qǐng)求到達(dá)控制器之前或回應(yīng)返回之前對(duì)請(qǐng)求進(jìn)行處理。本文將重點(diǎn)放在如何在Laravel中使用中間件實(shí)現(xiàn)資料加速，並提供具體的程式碼範(fàn)例。一、什麼是中間件中間件是Laravel框架中一種機(jī)制，用
PHP 框架安全指南：如何防止 CSRF 攻擊？
Jun 01, 2024 am 10:36 AM
PHP框架安全指南：如何防止CSRF攻擊？跨站點(diǎn)請(qǐng)求偽造(CSRF)攻擊是一種網(wǎng)路攻擊，其中攻擊者誘騙用戶在受害者的網(wǎng)路應(yīng)用程式中執(zhí)行非預(yù)期操作。 CSRF如何運(yùn)作？ CSRF攻擊利用了一個(gè)事實(shí)：大多數(shù)Web應(yīng)用程式允許在同一個(gè)網(wǎng)域內(nèi)不同頁(yè)面之間發(fā)送請(qǐng)求。攻擊者會(huì)建立惡意頁(yè)面，該頁(yè)面向受害者的應(yīng)用程式發(fā)送請(qǐng)求，觸發(fā)未經(jīng)授權(quán)的操作。如何防止CSRF攻擊？ 1.使用反CSRF令牌：向每個(gè)使用者分配一個(gè)唯一的令牌，將其儲(chǔ)存在會(huì)話或Cookie中。在應(yīng)用程式中包含一個(gè)隱藏字段，用於提交該令牌
