[PHP] - Laravel - CSRF token禁用方法
2015-06-05 18:32
716 查看
前文
CSRF攻击和漏洞的参考文章:/article/4901241.html
Laravel默认是开启了CSRF功能,需要关闭此功能有两种方法:
方法一
打开文件:app\Http\Kernel.php把这行注释掉:
'App\Http\Middleware\VerifyCsrfToken'
方法二
打开文件:app\Http\Middleware\VerifyCsrfToken.php修改为:
<?php namespace App\Http\Middleware; use Closure; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { // 使用CSRF //return parent::handle($request, $next); // 禁用CSRF return $next($request); } }
CSRF的使用有两种,一种是在HTML的代码中加入:
<input type="hidden" name="_token" value="{{ csrf_token() }}" />
另一种是使用cookie方式。
使用cookie方式,需要把app\Http\Middleware\VerifyCsrfToken.php修改为:
<?php namespace App\Http\Middleware; use Closure; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { return parent::addCookieToResponse($request, $next($request)); } }
使用cookie方式的CSRF,可以不用在每个页面都加入这个input的hidden标签。
当然,也可以对指定的表单提交方式使用CSRF,如:
<?php namespace App\Http\Middleware; use Closure; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /** * Handle an incoming request. * * @param \Illuminate\Http\Request $request * @param \Closure $next * @return mixed */ public function handle($request, Closure $next) { // Add this: if($request->method() == 'POST') { return $next($request); } if ($request->method() == 'GET' || $this->tokensMatch($request)) { return $next($request); } throw new TokenMismatchException; } }
只对GET的方式提交使用CSRF,对POST方式提交表单禁用CSRF
修改CSRF的cookie名称方法
通常使用CSRF时,会往浏览器写一个cookie,如:要修改这个名称值,可以到打开这个文件:vendor\laravel\framework\src\Illuminate\Foundation\Http\Middleware\VerifyCsrfToken.php
找到”XSRF-TOKEN“,修改它即可。
当然,你也可以在app\Http\Middleware\VerifyCsrfToken.php文件中,重写addCookieToResponse(...)方法做到。
另外,如需要对指定的页面不使用CSRF,可以参考如下文章:
http://www.camroncade.com/disable-csrf-for-specific-routes-laravel-5/
相关文章推荐
- 嵌入式 RTP通话:视频流(H.264)的传输
- 嵌入式 RTP通话:视频流(H.264)的传输
- 嵌入式 RTP通话:视频流(H.264)的传输
- 嵌入式 RTP通话:视频流(H.264)的传输 分类: ffmpeg-SDL-VLC-Live555 2015-06-05 18:23 188人阅读 评论(0) 收藏
- yii框架数据循环添加
- [每日一记]php访问mysql
- laravel Blade 模板引擎 命令
- PHP 替换url中参数
- php模版引擎(smarty3)—display()渲染文本字符串
- php moungoDB
- laravel/laravel和laravel/framework有何区别?
- php加解密工具php_screw-1.5_php5.3支持php5.3以上版本
- php面向对象(OOP)—spl_autoload_register()注册自定义的自动加载函数
- Matplot中文乱码完美解决方案
- vsftp实现匿名用户文件可上传不能删除或覆盖
- Thinkphp2.2 config.inc.php常用配置
- PHP获取今天、昨天、明天的日期
- robotframework 是如何根据output收集失败的case的
- php面向对象(OOP)—__autoload()函数
- PHP常用正则表达式汇总