CSRF 保护
介绍
跨站请求伪造是一种恶意攻击类型，未经授权的命令会以已认证用户的身份执行。幸运的是，Laravel 使得保护您的应用程序免受跨站请求伪造 (CSRF) 攻击变得简单。
漏洞解释
如果您不熟悉跨站请求伪造，让我们讨论一个如何利用此漏洞的示例。假设您的应用程序有一个 /user/email 路由，该路由接受 POST 请求以更改已认证用户的电子邮件地址。很可能，此路由期望 email 输入字段包含用户希望开始使用的电子邮件地址。
如果没有 CSRF 保护，恶意网站可以创建一个 HTML 表单，指向您的应用程序的 /user/email 路由，并提交恶意用户自己的电子邮件地址：
<form action="https://your-application.com/user/email" method="POST">
<input type="email" value="malicious-email@example.com">
</form>
<script>
document.forms[0].submit();
</script>如果恶意网站在页面加载时自动提交表单，恶意用户只需诱使您应用程序的一个毫无戒心的用户访问他们的网站，用户的电子邮件地址就会在您的应用程序中被更改。
为了防止此漏洞，我们需要检查每个传入的 POST、PUT、PATCH 或 DELETE 请求，以获取恶意应用程序无法访问的秘密会话值。
防止 CSRF 请求
Laravel 会为应用程序管理的每个活动用户会话自动生成一个 CSRF “令牌”。此令牌用于验证已认证用户是否确实在向应用程序发出请求。由于此令牌存储在用户的会话中，并且每次会话重新生成时都会更改，恶意应用程序无法访问它。
当前会话的 CSRF 令牌可以通过请求的会话或通过 csrf_token 辅助函数访问：
use Illuminate\Http\Request;
Route::get('/token', function (Request $request) {
$token = $request->session()->token();
$token = csrf_token();
// ...
});每当您在应用程序中定义“POST”、“PUT”、“PATCH”或“DELETE” HTML 表单时，您都应该在表单中包含一个隐藏的 CSRF _token 字段，以便 CSRF 保护中间件可以验证请求。为了方便起见，您可以使用 @csrf Blade 指令生成隐藏的令牌输入字段：
<form method="POST" action="/profile">
@csrf
<!-- 等效于... -->
<input type="hidden" name="_token" value="{{ csrf_token() }}" />
</form>默认情况下包含在 web 中间件组中的 App\Http\Middleware\VerifyCsrfToken 中间件将自动验证请求输入中的令牌是否与会话中存储的令牌匹配。当这两个令牌匹配时，我们知道是已认证用户发起了请求。
CSRF 令牌与 SPA
如果您正在构建一个使用 Laravel 作为 API 后端的 SPA，您应该查阅 Laravel Sanctum 文档，以获取有关如何与您的 API 进行身份验证并防止 CSRF 漏洞的信息。
排除 URI
有时您可能希望从 CSRF 保护中排除一组 URI。例如，如果您使用 Stripe 处理支付并使用其 webhook 系统，您将需要从 CSRF 保护中排除您的 Stripe webhook 处理程序路由，因为 Stripe 不知道要发送到您的路由的 CSRF 令牌。
通常，您应该将这些类型的路由放在 App\Providers\RouteServiceProvider 应用于 routes/web.php 文件中所有路由的 web 中间件组之外。然而，您也可以通过将其 URI 添加到 VerifyCsrfToken 中间件的 $except 属性中来排除这些路由：
<?php
namespace App\Http\Middleware;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as Middleware;
class VerifyCsrfToken extends Middleware
{
/**
* 应从 CSRF 验证中排除的 URI。
*
* @var array
*/
protected $except = [
'stripe/*',
'http://example.com/foo/bar',
'http://example.com/foo/*',
];
}为了方便起见，在运行测试时，CSRF 中间件会自动为所有路由禁用。
X-CSRF-TOKEN
除了检查作为 POST 参数的 CSRF 令牌外，App\Http\Middleware\VerifyCsrfToken 中间件还会检查 X-CSRF-TOKEN 请求头。例如，您可以将令牌存储在 HTML meta 标签中：
<meta name="csrf-token" content="{{ csrf_token() }}">然后，您可以指示像 jQuery 这样的库自动将令牌添加到所有请求头中。这为使用传统 JavaScript 技术的 AJAX 应用程序提供了简单、方便的 CSRF 保护：
$.ajaxSetup({
headers: {
"X-CSRF-TOKEN": $('meta[name="csrf-token"]').attr("content"),
},
});X-XSRF-TOKEN
Laravel 将当前 CSRF 令牌存储在一个加密的 XSRF-TOKEN cookie 中，该 cookie 包含在框架生成的每个响应中。您可以使用 cookie 值设置 X-XSRF-TOKEN 请求头。
此 cookie 主要作为开发者的便利，因为一些 JavaScript 框架和库（如 Angular 和 Axios）会自动将其值放入同源请求的 X-XSRF-TOKEN 头中。
默认情况下，resources/js/bootstrap.js 文件包含 Axios HTTP 库，该库会自动为您发送 X-XSRF-TOKEN 头。