Laravel CSRF 保护：防止跨站请求伪造

天天向上

发布： 2025-01-18 12:32:04

原创

953 人浏览过

跨站请求伪造（CSRF，Cross-Site Request Forgery）是一种常见的 Web 安全漏洞，攻击者通过伪造用户的请求，在用户不知情的情况下执行恶意操作。为了有效防止 CSRF 攻击，Laravel 提供了内置的 CSRF 保护机制，通过自动生成和验证 CSRF 令牌来确保请求的合法性。

本文将详细介绍 Laravel 中的 CSRF 保护机制，帮助开发者理解和使用 Laravel 提供的防护措施。

一、什么是 CSRF 攻击？

CSRF 攻击利用了受害者的身份和权限，诱使用户在不知情的情况下提交请求。举个例子，当用户已登录某个网站时，攻击者可以通过构造一个伪造的请求，将用户的身份用于恶意操作，例如修改密码、转账或删除数据等。

二、Laravel 中的 CSRF 保护

Laravel 默认启用了 CSRF 保护，所有的 POST、PUT、PATCH 和 DELETE 请求都会自动经过 CSRF 保护机制。这是通过在每个表单中嵌入一个 CSRF 令牌来实现的。

2.1 CSRF 令牌的工作原理

Laravel 会为每个用户生成一个 CSRF 令牌，并将该令牌嵌入到每个 HTML 表单中。当用户提交表单时，Laravel 会验证请求中包含的 CSRF 令牌是否与会话中存储的令牌匹配。若不匹配，则请求会被拒绝，从而防止 CSRF 攻击。

三、启用 CSRF 保护

3.1 默认启用

在 Laravel 中，CSRF 保护是默认启用的。所有 POST、PUT、PATCH 和 DELETE 请求都需要携带一个有效的 CSRF 令牌。Laravel 使用一个名为 VerifyCsrfToken 的中间件来处理这一机制。该中间件会在所有需要的请求中自动验证 CSRF 令牌。

3.2 CSRF 令牌生成

Laravel 会自动生成 CSRF 令牌并将其存储在用户会话中。令牌可以通过 Blade 模板轻松地嵌入到 HTML 表单中：

<form method="POST" action="/update-profile">
    @csrf
    <!-- 其他表单字段 -->
    <button type="submit">提交</button>
</form>

@csrf：这是一个 Blade 指令，用于生成一个隐藏的 CSRF 令牌字段。这个字段将自动包含一个唯一的 CSRF 令牌。

3.3 验证 CSRF 令牌

当表单提交时，Laravel 会自动验证请求中的 CSRF 令牌。如果令牌不匹配或缺失，Laravel 会自动抛出一个 TokenMismatchException 错误。

四、如何处理 AJAX 请求中的 CSRF

在使用 AJAX 发送请求时，您也需要在请求中包含 CSRF 令牌。Laravel 提供了简单的方式来处理这一点。

4.1 将 CSRF 令牌包含到 AJAX 请求中

使用 jQuery 或其他 JavaScript 库时，您可以通过设置请求头来自动附加 CSRF 令牌。例如，使用 jQuery 发送请求时，您可以这样做：

// 在所有 AJAX 请求中自动附加 CSRF 令牌
$.ajaxSetup({
    headers: {
        'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
    }
});

确保在页面的 <head> 部分包含 CSRF 令牌：

<meta name="csrf-token" content="{{ csrf_token() }}">

4.2 发送带 CSRF 令牌的 POST 请求

在 JavaScript 中发送 POST 请求时，可以像下面这样将令牌自动添加到请求头：

$.post('/update-profile', { data: 'example' })
    .done(function(response) {
        console.log(response);
    })
    .fail(function(xhr) {
        console.error(xhr.responseText);
    });

Laravel 会从请求头中提取 CSRF 令牌并进行验证。

五、绕过 CSRF 保护的情况

5.1 不需要 CSRF 保护的路由

对于某些不需要 CSRF 保护的路由（例如 webhook 或外部 API 请求），您可以在 VerifyCsrfToken 中间件中排除这些路由。

编辑 app/Http/Middleware/VerifyCsrfToken.php 文件，添加 except 数组，将不需要 CSRF 保护的路由排除掉：

protected $except = [
    'api/*',   // 例如，排除所有 API 路由
    'webhook/*',  // 或者排除某些特定的 URL
];

此设置可以确保只有这些特定路由不经过 CSRF 验证。

5.2 使用 Token 验证的 API 路由

对于基于 API 的应用程序，可以使用 Laravel Passport 或 Laravel Sanctum 来处理身份验证。在这些场景中，通常会使用 API 密钥或令牌来代替 CSRF 保护机制。

六、CSRF 保护的常见问题

6.1 CSRF 令牌错误

当用户在提交表单时，Laravel 报告 CSRF 令牌错误时，通常是以下几种原因：

CSRF 令牌过期：默认情况下，Laravel 会在用户的会话过期时使令牌失效。可以通过调整会话配置来增加令牌的有效期。
令牌丢失或未包含：如果表单或 AJAX 请求未包含 CSRF 令牌，Laravel 会返回 419 错误，提示令牌未找到。

6.2 AJAX 请求失败

如果您在发送 AJAX 请求时遇到 419 错误（CSRF 令牌验证失败），确保：

页面中包含了正确的 <meta name="csrf-token"> 标签。
使用 $.ajaxSetup 或类似方法将 CSRF 令牌添加到所有 AJAX 请求的请求头中。

七、总结

Laravel 的 CSRF 保护机制可以有效防止跨站请求伪造攻击。通过自动生成并验证 CSRF 令牌，Laravel 确保了应用的安全性。在使用 Laravel 开发 Web 应用时，遵循以下几个原则：

始终在表单中使用 @csrf 指令生成 CSRF 令牌。
在 AJAX 请求中设置正确的 CSRF 令牌头部。
如果需要，可以根据业务需求将某些路由排除 CSRF 验证。

通过正确配置和使用 Laravel 的 CSRF 保护机制，您可以大大提升应用的安全性，防止恶意攻击。