[PHP] - Laravel - CSRF token禁用方法
方法一
打开文件：app\Http\Kernel.php
把这行注释掉：'App\Http\Middleware\VerifyCsrfToken'
方法二
打开文件：app\Http\Middleware\VerifyCsrfToken.php
修改为：
<?php namespace App\Http\Middleware;
use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;
class VerifyCsrfToken extends BaseVerifier {
/**
* Handle an incoming request.
*
* @param \Illuminate\Http\Request $request
* @param \Closure $next
* @return mixed
*/
public function handle($request, Closure $next)
{
// 使用CSRF
//return parent::handle($request, $next);
// 禁用CSRF
return $next($request);
}
}
CSRF的使用有两种，一种是在HTML的代码中加入：
<input type="hidden" name="_token" value="{{ csrf_token() }}" />
另一种是使用cookie方式。
使用cookie方式，需要把app\Http\Middleware\VerifyCsrfToken.php修改为：
<?php namespace App\Http\Middleware;
use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;
class VerifyCsrfToken extends BaseVerifier {
/**
* Handle an incoming request.
*
* @param \Illuminate\Http\Request $request
* @param \Closure $next
* @return mixed
*/
public function handle($request, Closure $next)
{
return parent::addCookieToResponse($request, $next($request));
}
}
使用cookie方式的CSRF，可以不用在每个页面都加入这个input的hidden标签。
当然，也可以对指定的表单提交方式使用CSRF，如：
<?php namespace App\Http\Middleware;
use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;
class VerifyCsrfToken extends BaseVerifier {
/**
* Handle an incoming request.
*
* @param \Illuminate\Http\Request $request
* @param \Closure $next
* @return mixed
*/
public function handle($request, Closure $next)
{
// Add this:
if($request->method() == 'POST')
{
return $next($request);
}
if ($request->method() == 'GET' || $this->tokensMatch($request))
{
return $next($request);
}
throw new TokenMismatchException;
}
}
只对GET的方式提交使用CSRF，对POST方式提交表单禁用CSRF
扩展：：：
<input type="hidden" name="_token" value="<?php echo csrf_token(); ?>">{{ csrf_token() }}
该段代码等同于全局帮助函数csrf_field的输出：
<?php echo csrf_field(); ?>
在Blade模板引擎中还可以使用如下方式调用：
{!! csrf_field() !!} 显示html标签
3、X-CSRF-Token及其使用
如果使用Ajax提交POST表单，又该如何处理呢？我们可以将Token设置在meta中：
<meta name="csrf-token" content="{{ csrf_token() }}">
然后在全局Ajax中使用这种方式设置X-CSRF-Token请求头并提交：
$.ajaxSetup({
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
});
Laravel的VerifyCsrfToken中间件会检查X-CSRF-TOKEN请求头，如果该值和Session中CSRF值相等则验证通过，否则不通过。
4.获取相关token值
<input type="hidden" name="_token" value="{{ csrf_token() }}" />
$("input[name='_token']").val();
<input type="hidden" id="_token" value="{{ csrf_token() }}" />
$("#_token").val();
<meta name="_token" content="{{csrf_token()}}"/>
$("meta[name='_token']").attr('content');
