laravel 入门（3）表单方法伪造与跨站请求伪造（CSRF）攻击防护

在浏览器地址栏访问某个 URL 采用的是 GET 请求，对于其他请求方式要怎么实现呢，一种方法是通过 HTML 表单元素的 method 属性，另一种方法是在 JavaScript 脚本中发起 HTTP 请求。对于 HTML 表单属性而言，有一个问题是 HTML 表单仅支持 GET 和 POST 请求，如果要使用其他请求方式怎么办？答案是通过表单方法伪造，下面我们就来介绍如何在 Laravel 中进行表单方法伪造。

表单请求方法伪造#

要告知 Laravel 当前提交的表单使用的是 GET/POST 之外的其他请求方式，需要在表单中添加一个名为 _method 的隐藏字段，字段值是「PUT」、「DELETE」或「PATCH」。Laravel 在处理提交表单请求时，会将字段值作为请求方式匹配对应的路由。比如下面这个表单：

Copy Highlighter-hljs
<form action="/task/1" method="POST"> 
    <input type="hidden" name="_method" value="DELETE"> 
</form>

Laravel 会将其看作是 DELETE 请求，并将其匹配到对应的 Route::delete 路由进行处理，而不是 Route::post 路由。

其他请求方式实现方式也是一样，不再赘述。

CSRF 保护#

在开始之前让我们来实现上述表单访问伪造的完整示例，为简单起见，我们在路由闭包中实现所有业务代码：

Copy Highlighter-hljs
Route::get('task/{id}/delete', function ($id) {
    return '<form method="post" action="' . route('task.delete', [$id]) . '">
                <input type="hidden" name="_method" value="DELETE"> 
                <button type="submit">删除任务</button>
            </form>';
});

Route::delete('task/{id}', function ($id) {
    return 'Delete Task ' . $id;
})->name('task.delete');

在 http://blog.test/task/1/delete 点击「删除任务」按钮提交表单，会显示 419 异常页面

不得不说，Laravel 5.7 引入的错误提示页面虽然好看，但是错误提示信息太少，这其实是因为默认情况下，为了安全考虑，Laravel 期望所有路由都是「只读」操作的（对应请求方式是 GET、HEAD、OPTIONS），如果路由执行的是「写入」操作（对应请求方式是 POST、PUT、PATCH、DELETE），则需要传入一个隐藏的 Token 字段（_token）以避免[跨站请求伪造攻击]（CSRF）。在我们上面的示例中，请求方式是 DELETE，但是并没有传递 _token 字段，所以会出现异常。

注：跨站请求伪造是一种通过伪装授权用户的请求来攻击授信网站的恶意漏洞

在 Laravel 中，和表单方法伪造一样，支持通过 HTML 表单隐藏字段传递这个值：

Copy Highlighter-hljs
Route::get('task/{id}/delete', function ($id) {
    return '<form method="post" action="' . route('task.delete', [$id]) . '">
                <input type="hidden" name="_method" value="DELETE"> 
                <input type="hidden" name="_token" value="' . csrf_token() . '">
                <button type="submit">删除任务</button>
            </form>';
});

这样我们再次访问 http://blog.test/task/1/delete 页面点击「删除任务」按钮，即可成功提交表单。

当然，如果你是在 JavaScript 脚本中执行 HTTP 请求，也可以很方便的传递这个 Token 值执行写入操作，首先需要在 HTML 标签内新增一个元素来存储 Token 值：

Copy Highlighter-hljs
<meta name="csrf-token" content="<?php echo csrf_token(); ?>" id="csrf-token">

然后我们在 JavaScript 脚本中将这个 Token 值放到一个全局请求头设置中，以便每个 HTTP 请求都会带上这个头信息，避免每次发起请求都要添加这个字段。如果你使用的是 jQuery 的话，可以这么做：

Copy Highlighter-hljs
$.ajaxSetup({
    headers: {
        'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
    } 
});

如果你使用的是 Vue 的话，可以这么做：

Copy Highlighter-hljs
Vue.http.interceptors.push((request, next) => {
    request.headers['X-CSRF-TOKEN'] = document.querySelector('#csrf-token').getAttribute('content');
    next();
});

Laravel 会在每次请求都检查请求头中是否包含 X-CSRF-TOKEN，并检查其值是否和 Session 中的 Token 值是否一致。

排除指定 URL 不做 CSRF 安全校验#

有时候我们需要从 CSRF 保护中间件中排除一些 URL，例如，如果你使用了第三方支付系统（如支付宝或微信支付）来处理支付并用到他们提供的回调功能，这时候就需要从 Laravel 的 CSRF 保护中间件中排除回调处理器路由，因为第三方支付系统并不知道要传什么 token 值给我们定义的路由。

通常我们需要将这种类型的路由放到文件 routes/web.php 之外，比如 routes/api.php。不过，如果必须要加到 routes/web.php 中的话，你也可以在 VerifyCsrfToken 中间件中将要排除的 URL 添加到 $except 属性数组：

Copy Highlighter-hljs
<?php

namespace App\Http\Middleware;

use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as Middleware;

class VerifyCsrfToken extends Middleware
{
    /**
     * 从 CSRF 验证中排除的 URL
     *
     * @var array
     */
    protected $except = [
        'alipay/*',
        'http://example.com/foo/bar',
        'http://example.com/foo/*',
    ];
}