CSRF攻擊是利用用戶已登錄身份執(zhí)行未經(jīng)授權(quán)的操作。 Laravel通過中間件VerifyCsrfToken防禦，使用表單隱藏字段_token驗(yàn)證請(qǐng)求合法性。 1.AJAX請(qǐng)求需在header攜帶XSRF-Token；2.API路由默認(rèn)不啟用CSRF，需手動(dòng)添加中間件；3.緩存頁面可能導(dǎo)致token固定，應(yīng)避免緩存含表單頁面或動(dòng)態(tài)加載token。關(guān)閉CSRF適用於無狀態(tài)API、使用OAuth/JWT認(rèn)證等場(chǎng)景，但需確保其他安全機(jī)制可靠。
CSRF（跨站請(qǐng)求偽造）攻擊是一種常見的安全漏洞，攻擊者通過偽裝成用戶向已認(rèn)證的應(yīng)用程序發(fā)送惡意請(qǐng)求。在Laravel 中，框架本身提供了一套完善的機(jī)制來防止這類攻擊，但如果你不了解其工作原理或使用不當(dāng)，依然可能留下隱患。
什麼是CSRF 攻擊？
簡單來說，CSRF 是利用用戶已經(jīng)登錄的身份，在用戶不知情的情況下執(zhí)行某些操作。比如你在銀行網(wǎng)站登錄了賬戶，然後訪問了一個(gè)惡意網(wǎng)站，該網(wǎng)站自動(dòng)發(fā)起一個(gè)轉(zhuǎn)賬請(qǐng)求，如果銀行沒有防範(fàn)措施，就可能誤認(rèn)為是你自己操作的。
這種攻擊之所以能成功，是因?yàn)闉g覽器會(huì)自動(dòng)帶上你對(duì)目標(biāo)網(wǎng)站的cookie，服務(wù)器無法判斷請(qǐng)求是否來自你本人主動(dòng)發(fā)起。
Laravel 如何防禦CSRF？
Laravel 默認(rèn)啟用了CSRF 保護(hù)機(jī)制，主要通過中間件VerifyCsrfToken來實(shí)現(xiàn)。它的核心邏輯是：
- 在每個(gè)表單中加入一個(gè)隱藏字段
_token，這個(gè)token 是服務(wù)端生成並與當(dāng)前會(huì)話綁定的隨機(jī)值。 - 每次提交POST、PUT、PATCH 或DELETE 請(qǐng)求時(shí)，Laravel 會(huì)驗(yàn)證這個(gè)token 是否合法。
- 如果token 不匹配或者缺失，就會(huì)拋出TokenMismatchException 異常。
此外，Laravel 還提供了@csrf Blade 指令來方便地插入token 字段，推薦在所有非GET 表單中使用。
哪些情況容易被忽略？
雖然Laravel 已經(jīng)做了很多防護(hù)，但在實(shí)際開發(fā)中，以下幾個(gè)點(diǎn)容易出問題：
-
AJAX 請(qǐng)求未攜帶token ：默認(rèn)情況下，Laravel 要求AJAX 請(qǐng)求在header 中帶上XSRF-Token。你可以通過在頁面中添加meta 標(biāo)籤並使用Axios 等庫自動(dòng)處理：
<meta name="csrf-token" content="{{ csrf_token() }}">然後設(shè)置：
$.ajaxSetup({ headers: { 'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content') } }); API 路由繞過CSRF 驗(yàn)證：如果你用的是
api.php路由文件，默認(rèn)不經(jīng)過web中間件組，也就不會(huì)啟用CSRF 驗(yàn)證。如果你希望API 接口也支持基於session 的CSRF 保護(hù)，需要手動(dòng)加上相關(guān)中間件。緩存頁面導(dǎo)致token 固定：如果你把包含CSRF token 的頁面緩存了，會(huì)導(dǎo)致多個(gè)用戶拿到相同的token，這可能會(huì)造成安全隱患。因此，要避免緩存包含表單的頁面，或使用動(dòng)態(tài)加載token 的方式。
什麼時(shí)候可以關(guān)閉CSRF？
有些場(chǎng)景下確實(shí)不需要CSRF 保護(hù)，比如：
- 構(gòu)建無狀態(tài)API（如用於移動(dòng)端）
- 使用OAuth 或JWT 認(rèn)證機(jī)制
- 所有請(qǐng)求都通過token-based 的方式驗(yàn)證身份
這時(shí)候你可以選擇將路由移出web中間件組，或者直接從VerifyCsrfToken中間件中排除特定路由。
不過，一旦決定關(guān)閉CSRF，請(qǐng)確保你已經(jīng)有其他更安全的身份驗(yàn)證機(jī)制來替代它。
基本上就這些。
以上是了解和防止Laravel中的CSRF攻擊？的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費(fèi)脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動(dòng)的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費(fèi)的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費(fèi)的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強(qiáng)大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級(jí)程式碼編輯軟體(SublimeText3)
與Laravel中的樞軸表合作多對(duì)多關(guān)係
Jul 07, 2025 am 01:06 AM
toworkeffectivelywithpivottablesinlaravel，firstAccessPivotDatausingwithPivot（）orwithTimestamps（），thenupdateentrieswithupdatee XistingPivot（），ManageraliationShipsviadeTach（）andsync（），andusecustompivotModelSwhenNeed.1.UseWithPivot（）toincludespecificcol
通過Laravel發(fā)送不同類型的通知
Jul 06, 2025 am 12:52 AM
laravelProvidesLeanAndFlexibleWayTosendificationsViamultiplipliplipliplikeMail，SMS，In-Appalerts，and-Appalerts，andPushNotifications.youdefineNotificationChannelsinthelsinthevia（）MethodofanotificationClass，andimpecificementpecificementpecificementpecificemmethodssliketomail（）
優(yōu)化Laravel應(yīng)用程序性能的策略
Jul 09, 2025 am 03:00 AM
Laravel性能優(yōu)化可通過四個(gè)核心方向提升應(yīng)用效率。 1.使用緩存機(jī)制減少重複查詢，通過Cache::remember()等方法存儲(chǔ)不常變化的數(shù)據(jù)，降低數(shù)據(jù)庫訪問頻率；2.從模型到查詢語句進(jìn)行數(shù)據(jù)庫優(yōu)化，避免N 1查詢、指定字段查詢、添加索引、分頁處理及讀寫分離，減少瓶頸；3.將耗時(shí)操作如郵件發(fā)送、文件導(dǎo)出放入隊(duì)列異步處理，利用Supervisor管理工作者並設(shè)置重試機(jī)制；4.合理使用中間件與服務(wù)提供者，避免複雜邏輯和不必要的初始化代碼，延遲加載服務(wù)以提升啟動(dòng)效率。
管理數(shù)據(jù)庫狀態(tài)進(jìn)行Laravel測(cè)試
Jul 13, 2025 am 03:08 AM
在Laravel測(cè)試中管理數(shù)據(jù)庫狀態(tài)的方法包括使用RefreshDatabase、選擇性播種數(shù)據(jù)、謹(jǐn)慎使用事務(wù)和必要時(shí)手動(dòng)清理。 1.使用RefreshDatabasetrait自動(dòng)遷移數(shù)據(jù)庫結(jié)構(gòu)，確保每次測(cè)試都基於乾淨(jìng)的數(shù)據(jù)庫；2.通過調(diào)用特定種子填充必要數(shù)據(jù)，結(jié)合模型工廠生成動(dòng)態(tài)數(shù)據(jù)；3.使用DatabaseTransactionstrait回滾測(cè)試更改，但需注意其局限性；4.在無法自動(dòng)清理時(shí)，手動(dòng)截?cái)啾砘蛑匦虏シN數(shù)據(jù)庫。這些方法根據(jù)測(cè)試類型和環(huán)境靈活選用，以保證測(cè)試的可靠性和效率。
選擇API身份驗(yàn)證的Laravel Sanctum和Passport
Jul 14, 2025 am 02:35 AM
LaravelSanctum適合簡單、輕量的API認(rèn)證，如SPA或移動(dòng)應(yīng)用，而Passport適用於需要完整OAuth2功能的場(chǎng)景。 1.Sanctum提供基於令牌的認(rèn)證，適合第一方客戶端；2.Passport支持授權(quán)碼、客戶端憑證等複雜流程，適合第三方開發(fā)者接入；3.Sanctum安裝配置更簡單，維護(hù)成本低；4.Passport功能全面但配置複雜，適合需要精細(xì)權(quán)限控制的平臺(tái)。選擇時(shí)應(yīng)根據(jù)項(xiàng)目需求判斷是否需要OAuth2特性。
在Laravel中實(shí)施數(shù)據(jù)庫交易？
Jul 08, 2025 am 01:02 AM
Laravel通過內(nèi)置支持簡化了數(shù)據(jù)庫事務(wù)處理。 1.使用DB::transaction()方法可自動(dòng)提交或回滾操作，確保數(shù)據(jù)完整性；2.支持嵌套事務(wù)並通過保存點(diǎn)實(shí)現(xiàn)，但通常建議使用單一事務(wù)包裝以避免複雜性；3.提供手動(dòng)控制方法如beginTransaction()、commit()和rollBack()，適用於需要更靈活處理的場(chǎng)景；4.最佳實(shí)踐包括保持事務(wù)簡短、僅在必要時(shí)使用、測(cè)試失敗情況並記錄回滾信息。合理選擇事務(wù)管理方式有助於提高應(yīng)用可靠性和性能。
處理Laravel中的HTTP請(qǐng)求和響應(yīng)。
Jul 16, 2025 am 03:21 AM
在Laravel中處理HTTP請(qǐng)求和響應(yīng)的核心在於掌握請(qǐng)求數(shù)據(jù)獲取、響應(yīng)返回和文件上傳。 1.接收請(qǐng)求數(shù)據(jù)可通過類型提示注入Request實(shí)例並使用input()或魔術(shù)方法獲取字段，結(jié)合validate()或表單請(qǐng)求類進(jìn)行驗(yàn)證；2.返迴響應(yīng)支持字符串、視圖、JSON、帶狀態(tài)碼和頭部的響應(yīng)及重定向操作；3.處理文件上傳時(shí)需使用file()方法並結(jié)合store()存儲(chǔ)文件，上傳前應(yīng)驗(yàn)證文件類型和大小，存儲(chǔ)路徑可保存至數(shù)據(jù)庫。
在Laravel生成命名路線的URL。
Jul 16, 2025 am 02:50 AM
在Laravel中生成命名路由的URL最常用方法是使用route()輔助函數(shù)，它可根據(jù)路由名稱自動(dòng)匹配路徑並處理參數(shù)綁定。 1.在控制器或視圖中傳入路由名稱和參數(shù)，如route('user.profile',['id'=>1])；2.多參數(shù)時(shí)也只需傳數(shù)組，順序不影響匹配，如route('user.post.show',['id'=>1,'postId'=>10])；3.在Blade模板中可直接嵌入鏈接，如查看資料；4.可選參數(shù)未提供時(shí)不顯示，如route('user.post',
