Laravel - CSRF token 禁用方法

前文

最近项目开发，使用 postman 测试接口，一直测试不过，然后就想办法把 CSRF 验证关掉。
其实在网上查了一下 CSRF 验证还是蛮重要的，CSRF 攻击和漏洞的参考文章：
http://www.cnblogs.com/hyddd/archive/2009/...

Laravel 默认是开启了 CSRF 功能，需要关闭此功能有两种方法：

方法一

打开文件：app\Http\Kernel.php
把这行注释掉：

'App\Http\Middleware\VerifyCsrfToken'

方法二

打开文件：app\Http\Middleware\VerifyCsrfToken.php
修改为：

<?php namespace App\Http\Middleware;

use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier {

    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        // 使用CSRF
        //return parent::handle($request, $next);
        // 禁用CSRF
        return $next($request);
    }

}

CSRF 的使用有两种，一种是在 HTML 的代码中加入：

<input type="hidden" name="_token" value="{{ csrf_token() }}" />

另一种是使用 cookie 方式。
使用 cookie 方式，需要把 app\Http\Middleware\VerifyCsrfToken.php 修改为：

<?php namespace App\Http\Middleware;

use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier {

    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        return parent::addCookieToResponse($request, $next($request));
    }

}

使用 cookie 方式的 CSRF ，可以不用在每个页面都加入这个 input 的 hidden 标签。
当然，也可以对指定的表单提交方式使用 CSRF ，如：

<?php namespace App\Http\Middleware; use Closure; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier; class VerifyCsrfToken extends BaseVerifier { /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed */
    public function handle($request, Closure $next)
    { // Add this:
        if($request->method() == 'POST')
        { return $next($request);
        } if ($request->method() == 'GET' || $this->tokensMatch($request))
        { return $next($request);
        } throw new TokenMismatchException;
    }

}

只对 GET 的方式提交使用 CSRF ，对 POST 方式提交表单禁用 CSRF 。

修改CSRF的cookie名称方法

通常使用CSRF时，会往浏览器写一个 cookie ，如：

要修改这个名称值，可以到打开这个文件：

vendor\laravel\framework\src\Illuminate\Foundation\Http\Middleware\VerifyCsrfToken.php

找到 XSRF-TOKEN ，修改它即可。 (不建议这么做)

当然，你也可以在 app\Http\Middleware\VerifyCsrfToken.php 文件中，重写 addCookieToResponse(...) 方法做到。

另外，如需要对指定的页面不使用CSRF，可以参考如下文章：
http://www.camroncade.com/disable-csrf-for...

本作品采用《CC 协议》，转载必须注明作者和本文链接