CSRF攻擊是利用用戶已登錄身份執(zhí)行未經(jīng)授權(quán)的操作。 Laravel通過(guò)中間件VerifyCsrfToken防禦，使用表單隱藏字段_token驗(yàn)證請(qǐng)求合法性。 1.AJAX請(qǐng)求需在header攜帶XSRF-Token；2.API路由默認(rèn)不啟用CSRF，需手動(dòng)添加中間件；3.緩存頁(yè)面可能導(dǎo)致token固定，應(yīng)避免緩存含表單頁(yè)面或動(dòng)態(tài)加載token。關(guān)閉CSRF適用於無(wú)狀態(tài)API、使用OAuth/JWT認(rèn)證等場(chǎng)景，但需確保其他安全機(jī)制可靠。
CSRF（跨站請(qǐng)求偽造）攻擊是一種常見的安全漏洞，攻擊者通過(guò)偽裝成用戶向已認(rèn)證的應(yīng)用程序發(fā)送惡意請(qǐng)求。在Laravel 中，框架本身提供了一套完善的機(jī)制來(lái)防止這類攻擊，但如果你不了解其工作原理或使用不當(dāng)，依然可能留下隱患。
什麼是CSRF 攻擊？
簡(jiǎn)單來(lái)說(shuō)，CSRF 是利用用戶已經(jīng)登錄的身份，在用戶不知情的情況下執(zhí)行某些操作。比如你在銀行網(wǎng)站登錄了賬戶，然後訪問(wèn)了一個(gè)惡意網(wǎng)站，該網(wǎng)站自動(dòng)發(fā)起一個(gè)轉(zhuǎn)賬請(qǐng)求，如果銀行沒(méi)有防範(fàn)措施，就可能誤認(rèn)為是你自己操作的。
這種攻擊之所以能成功，是因?yàn)闉g覽器會(huì)自動(dòng)帶上你對(duì)目標(biāo)網(wǎng)站的cookie，服務(wù)器無(wú)法判斷請(qǐng)求是否來(lái)自你本人主動(dòng)發(fā)起。
Laravel 如何防禦CSRF？
Laravel 默認(rèn)啟用了CSRF 保護(hù)機(jī)制，主要通過(guò)中間件VerifyCsrfToken來(lái)實(shí)現(xiàn)。它的核心邏輯是：
- 在每個(gè)表單中加入一個(gè)隱藏字段
_token，這個(gè)token 是服務(wù)端生成並與當(dāng)前會(huì)話綁定的隨機(jī)值。 - 每次提交POST、PUT、PATCH 或DELETE 請(qǐng)求時(shí)，Laravel 會(huì)驗(yàn)證這個(gè)token 是否合法。
- 如果token 不匹配或者缺失，就會(huì)拋出TokenMismatchException 異常。
此外，Laravel 還提供了@csrf Blade 指令來(lái)方便地插入token 字段，推薦在所有非GET 表單中使用。
哪些情況容易被忽略？
雖然Laravel 已經(jīng)做了很多防護(hù)，但在實(shí)際開發(fā)中，以下幾個(gè)點(diǎn)容易出問(wèn)題：
-
AJAX 請(qǐng)求未攜帶token ：默認(rèn)情況下，Laravel 要求AJAX 請(qǐng)求在header 中帶上XSRF-Token。你可以通過(guò)在頁(yè)面中添加meta 標(biāo)籤並使用Axios 等庫(kù)自動(dòng)處理：
<meta name="csrf-token" content="{{ csrf_token() }}">然後設(shè)置：
$.ajaxSetup({ headers: { 'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content') } }); API 路由繞過(guò)CSRF 驗(yàn)證：如果你用的是
api.php路由文件，默認(rèn)不經(jīng)過(guò)web中間件組，也就不會(huì)啟用CSRF 驗(yàn)證。如果你希望API 接口也支持基於session 的CSRF 保護(hù)，需要手動(dòng)加上相關(guān)中間件。緩存頁(yè)面導(dǎo)致token 固定：如果你把包含CSRF token 的頁(yè)面緩存了，會(huì)導(dǎo)致多個(gè)用戶拿到相同的token，這可能會(huì)造成安全隱患。因此，要避免緩存包含表單的頁(yè)面，或使用動(dòng)態(tài)加載token 的方式。
什麼時(shí)候可以關(guān)閉CSRF？
有些場(chǎng)景下確實(shí)不需要CSRF 保護(hù)，比如：
- 構(gòu)建無(wú)狀態(tài)API（如用於移動(dòng)端）
- 使用OAuth 或JWT 認(rèn)證機(jī)制
- 所有請(qǐng)求都通過(guò)token-based 的方式驗(yàn)證身份
這時(shí)候你可以選擇將路由移出web中間件組，或者直接從VerifyCsrfToken中間件中排除特定路由。
不過(guò)，一旦決定關(guān)閉CSRF，請(qǐng)確保你已經(jīng)有其他更安全的身份驗(yàn)證機(jī)制來(lái)替代它。
基本上就這些。
以上是了解和防止Laravel中的CSRF攻擊？的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動(dòng)的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺(jué)化網(wǎng)頁(yè)開發(fā)工具
SublimeText3 Mac版
神級(jí)程式碼編輯軟體(SublimeText3)
熱門話題
Laravel中的路線是什麼？如何定義？
Jun 12, 2025 pm 08:21 PM
在Laravel中，路由是應(yīng)用程序的入口點(diǎn)，用於定義客戶端請(qǐng)求特定URI時(shí)的響應(yīng)邏輯。路由將URL映射到對(duì)應(yīng)的處理代碼，通常包含HTTP方法、URI和動(dòng)作（閉包或控制器方法）。 1.路由定義基本結(jié)構(gòu)：使用Route::verb('/uri',action)的方式綁定請(qǐng)求；2.支持多種HTTP動(dòng)詞如GET、POST、PUT等；3.可通過(guò){param}定義動(dòng)態(tài)參數(shù)並傳遞數(shù)據(jù)；4.路由可命名以便生成URL或重定向；5.使用分組功能統(tǒng)一添加前綴、中間件等共享設(shè)置；6.路由文件按用途分為web.php、ap
Laravel的政策是什麼，如何使用？
Jun 21, 2025 am 12:21 AM
InLaravel,policiesorganizeauthorizationlogicformodelactions.1.Policiesareclasseswithmethodslikeview,create,update,anddeletethatreturntrueorfalsebasedonuserpermissions.2.Toregisterapolicy,mapthemodeltoitspolicyinthe$policiesarrayofAuthServiceProvider.
如何使用雄辯在數(shù)據(jù)庫(kù)中創(chuàng)建新記錄？
Jun 14, 2025 am 12:34 AM
要使用Eloquent在數(shù)據(jù)庫(kù)中創(chuàng)建新記錄，有四種主要方法：1.使用create方法，傳入屬性數(shù)組快速創(chuàng)建記錄，如User::create(['name'=>'JohnDoe','email'=>'john@example.com']);2.使用save方法手動(dòng)實(shí)例化模型並逐個(gè)賦值保存，適用於需要條件賦值或額外邏輯的場(chǎng)景；3.使用firstOrCreate根據(jù)搜索條件查找或創(chuàng)建記錄，避免重複數(shù)據(jù)；4.使用updateOrCreate查找記錄並更新，若無(wú)則創(chuàng)建，適合處理導(dǎo)入數(shù)據(jù)等可能重
我如何在Laravel運(yùn)行播種機(jī)？ （PHP Artisan DB：種子）
Jun 12, 2025 pm 06:01 PM
Thephpartisandb:seedcommandinLaravelisusedtopopulatethedatabasewithtestordefaultdata.1.Itexecutestherun()methodinseederclasseslocatedin/database/seeders.2.Developerscanrunallseeders,aspecificseederusing--class,ortruncatetablesbeforeseedingwith--trunc
Laravel中工匠命令行工具的目的是什麼？
Jun 13, 2025 am 11:17 AM
Artisan是Laravel的命令行工具，用于提升開發(fā)效率。其核心作用包括：1.生成代碼結(jié)構(gòu)，如控制器、模型等，通過(guò)make:controller等命令自動(dòng)創(chuàng)建文件；2.管理數(shù)據(jù)庫(kù)遷移與填充，使用migrate運(yùn)行遷移，db:seed填充數(shù)據(jù)；3.支持自定義命令，如make:command創(chuàng)建命令類實(shí)現(xiàn)業(yè)務(wù)邏輯封裝；4.提供調(diào)試與環(huán)境管理功能，如key:generate生成密鑰，serve啟動(dòng)開發(fā)服務(wù)器。熟練使用Artisan可顯著提高Laravel開發(fā)效率。
如何在操作系統(tǒng)（Windows，MacOS，Linux）上安裝Laravel？
Jun 19, 2025 am 12:31 AM
是的，YouCaninStallaLaveRonanyOperatingSystembyFollowingTheSeSteps：1.InstallphpandRequiredExtensionsLikeMbString，OpenSSL，AndxmlusingtoolslikeXampponwindows，HomebrewhonMacos，HomebrewonMacos，homebbrewonmacos，homebtonlinux，oraptonlinux；
如何在控制器中定義方法（操作）？
Jun 14, 2025 am 12:38 AM
在控制器中定義方法（也稱為動(dòng)作）是告訴應(yīng)用程序當(dāng)有人訪問(wèn)特定URL時(shí)該做什麼。這些方法通常處理請(qǐng)求、處理數(shù)據(jù)並返迴響應(yīng)，如HTML頁(yè)面或JSON。理解基本結(jié)構(gòu)：大多數(shù)Web框架（如RubyonRails、Laravel或SpringMVC）使用控制器對(duì)相關(guān)操作進(jìn)行分組。每個(gè)控制器內(nèi)的方法通常對(duì)應(yīng)一個(gè)路由，即某人可以訪問(wèn)的URL路徑。例如，在PostsController中可能有以下方法：1.index()–顯示帖子列表；2.show()–顯示單個(gè)帖子；3.create()–處理創(chuàng)建新帖子；4.u
我如何在Laravel進(jìn)行測(cè)試？ （PHP手工測(cè)試）
Jun 13, 2025 am 12:02 AM
ToruntestsinLaraveleffectively,usethephpartisantestcommandwhichsimplifiesPHPUnitusage.1.Setupa.env.testingfileandconfigurephpunit.xmltouseatestdatabaselikeSQLite.2.Generatetestfilesusingphpartisanmake:test,using--unitforunittests.3.Writetestswithmeth
