VerifyCsrfToken 是Laravel 中防止CSRF 攻擊的中間件，其核心機(jī)制是通過驗(yàn)證請求中的CSRF Token 來確保請求來源合法。 1. 它在用戶訪問表單頁面時(shí)生成唯一Token 並嵌入表單；2. 提交時(shí)驗(yàn)證Token 是否一致，否則拒絕請求；3. 主要驗(yàn)證POST、PUT、PATCH、DELETE 請求，GET 請求默認(rèn)不驗(yàn)證；4. 可通過在$except 屬性中添加路由跳過驗(yàn)證，但需謹(jǐn)慎使用；5. 對於SPA 或API 場景建議使用Sanctum 或Passport 管理Token。
VerifyCsrfToken 是Laravel 框架中用於防止跨站請求偽造（CSRF）攻擊的一種中間件。簡單來說，它通過驗(yàn)證請求中是否包含合法的CSRF Token 來確保請求是由用戶主動(dòng)發(fā)起的，而不是被第三方網(wǎng)站誘導(dǎo)發(fā)起的惡意請求。
Laravel 默認(rèn)啟用了這個(gè)中間件，並且它已經(jīng)包含在了全局中間件組中。這意味著大部分進(jìn)入應(yīng)用的請求都會(huì)經(jīng)過它的檢查。
它是怎麼工作的？
VerifyCsrfToken 的核心機(jī)制是使用令牌（token）來驗(yàn)證請求來源的合法性：
- 生成Token ：當(dāng)用戶訪問一個(gè)帶有表單的頁面時(shí)，Laravel 會(huì)自動(dòng)生成一個(gè)唯一的CSRF Token，並把它嵌入到表單中（通常是一個(gè)隱藏字段）。
- 提交驗(yàn)證：當(dāng)用戶提交表單時(shí)，中間件會(huì)檢查提交的Token 是否與服務(wù)器端存儲(chǔ)的一致。如果不一致或缺失，請求將被拒絕（返回419 或500 錯(cuò)誤）。
除了HTML 表單，如果你是在用JavaScript（比如Axios）發(fā)送POST 請求，你需要額外配置token 的傳遞方式，通常是放在請求頭里。
哪些請求會(huì)被驗(yàn)證？
VerifyCsrfToken 並不是對所有請求都進(jìn)行驗(yàn)證。它主要針對那些可能修改狀態(tài)的請求方法，例如：
-
POST -
PUT -
PATCH -
DELETE
而像GET這類只讀請求，默認(rèn)是不會(huì)驗(yàn)證CSRF Token 的，因?yàn)樗鼈儾粦?yīng)該改變應(yīng)用的狀態(tài)。
如何繞過某些路由的驗(yàn)證？
有時(shí)候你可能會(huì)遇到一些不需要CSRF 驗(yàn)證的接口，比如API 路由或者外部服務(wù)回調(diào)地址。這時(shí)候你可以通過以下方式跳過驗(yàn)證：
- 打開
App\Http\Middleware\VerifyCsrfToken類 - 在
$except屬性中添加需要排除的路由路徑
protected $except = [
'api/*',
'webhook/stripe',
];這樣這些路徑下的請求就不會(huì)受到VerifyCsrfToken 的限制。
需要注意的是，跳過CSRF 驗(yàn)證可能會(huì)帶來安全風(fēng)險(xiǎn)，所以只應(yīng)在必要的情況下使用。
實(shí)際開發(fā)中的一些細(xì)節(jié)
- 如果你在開發(fā)SPA（如Vue Laravel API），建議使用Laravel 的
sanctum或passport來處理認(rèn)證和Token 管理，而不是依賴傳統(tǒng)的CSRF Token。 - 使用Blade 模板引擎時(shí)，可以使用
@csrf指令快速插入CSRF Token 字段。 - 對於AJAX 請求，確保前端正確攜帶
_token參數(shù)，或者設(shè)置好XSRF-TOKEN請求頭。
基本上就這些。 VerifyCsrfToken 是一個(gè)很基礎(chǔ)但非常關(guān)鍵的安全防護(hù)機(jī)制，雖然看起來不復(fù)雜，但在實(shí)際開發(fā)中很容易忽略一些細(xì)節(jié)導(dǎo)致出錯(cuò)。
以上是什麼是驗(yàn)證中間件？的詳細(xì)內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動(dòng)的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級程式碼編輯軟體(SublimeText3)
如何在Laravel中使用中間件進(jìn)行資料恢復(fù)
Nov 02, 2023 pm 02:12 PM
Laravel是一個(gè)流行的PHPWeb應(yīng)用程式框架，提供了許多快速且簡單的方式來建立高效、安全且可擴(kuò)展的Web應(yīng)用程式。在開發(fā)Laravel應(yīng)用程式時(shí)，我們經(jīng)常需要考慮資料恢復(fù)的問題，即如何在資料遺失或損壞的情況下恢復(fù)資料並保證應(yīng)用程式的正常運(yùn)作。在本文中，我們將介紹如何使用Laravel中間件來實(shí)現(xiàn)資料復(fù)原功能，並提供具體的程式碼範(fàn)例。一、什麼是Lara
如何在Laravel中使用中間件處理表單驗(yàn)證
Nov 02, 2023 pm 03:57 PM
如何在Laravel中使用中間件處理表單驗(yàn)證，需要具體程式碼範(fàn)例引言：在Laravel中，表單驗(yàn)證是非常常見的任務(wù)。為了確保使用者輸入的資料的有效性和安全性，我們通常會(huì)對表單提交的資料進(jìn)行驗(yàn)證。 Laravel提供了一個(gè)方便的表單驗(yàn)證功能，同時(shí)也支援使用中間件來處理表單驗(yàn)證。本文將詳細(xì)介紹如何在Laravel中使用中間件處理表單驗(yàn)證，並提供具體的程式碼範(fàn)例
tomcat中間件原理是什麼
Dec 27, 2023 pm 04:40 PM
tomcat中間件原理是基於Java Servlet和Java EE規(guī)格來實(shí)現(xiàn)的。 Tomcat作為Servlet容器，負(fù)責(zé)處理HTTP請求和回應(yīng)，提供Web應(yīng)用程式的運(yùn)作環(huán)境。 Tomcat中間件的原理主要涉及：1、容器模型；2、元件化架構(gòu)；3、Servlet處理機(jī)制；4、事件監(jiān)聽和過濾器；5、組態(tài)管理；6、安全性；7、叢集和負(fù)載平衡； 8、連接器技術(shù)；9、嵌入式模式等等。
Laravel中的跨站腳本攻擊（XSS）和跨站請求偽造（CSRF）防護(hù)
Aug 13, 2023 pm 04:43 PM
Laravel中的跨站腳本攻擊（XSS）和跨站請求偽造（CSRF）防護(hù)隨著互聯(lián)網(wǎng)的發(fā)展，網(wǎng)路安全問題也變得越來越嚴(yán)峻。其中，跨站腳本攻擊（Cross-SiteScripting，XSS）和跨站請求偽造（Cross-SiteRequestForgery，CSRF）是最常見的攻擊手段之一。 Laravel作為一款受歡迎的PHP開發(fā)框架，為使用者提供了多種安全機(jī)
如何在Laravel中使用中間件進(jìn)行回應(yīng)轉(zhuǎn)換
Nov 03, 2023 am 09:57 AM
如何在Laravel中使用中間件進(jìn)行回應(yīng)轉(zhuǎn)換中間件是Laravel框架中非常強(qiáng)大且實(shí)用的功能之一。它允許我們在請求進(jìn)入控制器之前或回應(yīng)被發(fā)送給客戶端之前，對請求和回應(yīng)進(jìn)行處理。在本文中，我將示範(fàn)如何使用中間件在Laravel中進(jìn)行回應(yīng)轉(zhuǎn)換。在開始之前，確保你已經(jīng)安裝了Laravel並創(chuàng)建了一個(gè)新的專案?，F(xiàn)在，我們將按照以下步驟進(jìn)行操作：建立一個(gè)新的中間件打開
如何在Laravel中使用中間件進(jìn)行資料加速
Nov 02, 2023 am 09:40 AM
如何在Laravel中使用中間件進(jìn)行資料加速引言：在使用Laravel框架開發(fā)Web應(yīng)用程式時(shí)，資料加速是提高應(yīng)用程式效能的關(guān)鍵。中間件是Laravel提供的重要功能，可以在請求到達(dá)控制器之前或回應(yīng)返回之前對請求進(jìn)行處理。本文將重點(diǎn)放在如何在Laravel中使用中間件實(shí)現(xiàn)資料加速，並提供具體的程式碼範(fàn)例。一、什麼是中間件中間件是Laravel框架中一種機(jī)制，用
在Slim框架中使用中間件（Middleware）設(shè)定跨域資源共享（CORS）的方法
Jul 30, 2023 pm 08:34 PM
在Slim框架中使用中間件（Middleware）設(shè)定跨域資源共享（CORS）的方法跨域資源共享（CORS）是一種機(jī)制，允許伺服器在HTTP響應(yīng)頭中設(shè)定一些額外的信息，來告知瀏覽器是否允許跨域請求。在一些前後端分離的專案中，使用CORS機(jī)制可以實(shí)現(xiàn)前端跨域請求後端介面的需求。在使用Slim框架開發(fā)RESTAPI時(shí)，我們可以使用中間件（Middleware）
PHP 框架安全指南：如何防止 CSRF 攻擊？
Jun 01, 2024 am 10:36 AM
PHP框架安全指南：如何防止CSRF攻擊？跨站點(diǎn)請求偽造(CSRF)攻擊是一種網(wǎng)路攻擊，其中攻擊者誘騙用戶在受害者的網(wǎng)路應(yīng)用程式中執(zhí)行非預(yù)期操作。 CSRF如何運(yùn)作？ CSRF攻擊利用了一個(gè)事實(shí)：大多數(shù)Web應(yīng)用程式允許在同一個(gè)網(wǎng)域內(nèi)不同頁面之間發(fā)送請求。攻擊者會(huì)建立惡意頁面，該頁面向受害者的應(yīng)用程式發(fā)送請求，觸發(fā)未經(jīng)授權(quán)的操作。如何防止CSRF攻擊？ 1.使用反CSRF令牌：向每個(gè)使用者分配一個(gè)唯一的令牌，將其儲(chǔ)存在會(huì)話或Cookie中。在應(yīng)用程式中包含一個(gè)隱藏字段，用於提交該令牌
