Laravel中的CSRF

RaoMeng 發(fā)布于2019-06-27 17:03 / 1589人閱讀

摘要：的處理在開(kāi)啟時(shí)為每個(gè)分配一個(gè)引入中間件后在里進(jìn)行核心處理判斷請(qǐng)求是否是這三種請(qǐng)求。獲取請(qǐng)求中的驗(yàn)證通過(guò)后將加入響應(yīng)包的里然后通過(guò)驗(yàn)證將請(qǐng)求通過(guò)遞交給下一個(gè)處理件。

跨站點(diǎn)請(qǐng)求偽造CSRF攻擊

攻擊者盜用用戶(hù)身份，通過(guò)偽造的身份以用戶(hù)的名義進(jìn)行非法請(qǐng)求從而在未經(jīng)用戶(hù)許可下完成某些非法操作。

Laravel的CSRF處理

在開(kāi)啟session時(shí)為每個(gè)session分配一個(gè)token

public function regenerateToken() {

$this->put("_token", Str::random(40));

}

引入VerifyCsrfToken中間件后在handle里進(jìn)行核心處理

public function handle($request, Closure $next)
{

if (
    $this->isReading($request) ||
    $this->runningUnitTests() ||
    $this->inExceptArray($request) ||
    $this->tokensMatch($request)
) {
    return $this->addCookieToResponse($request, $next($request));
}

throw new TokenMismatchException;

}

- `$this->isReading()`判斷請(qǐng)求是否是`["HEAD", "GET", "OPTIONS"]`這三種請(qǐng)求。
- `$this->runningUnitTests()`判斷程序是否正在進(jìn)行單元測(cè)試。
- `$this->inExceptArray()`判斷請(qǐng)求是否需要進(jìn)行Crsf驗(yàn)證。
- `$this->tokensMatch()`進(jìn)行token驗(yàn)證。

        protected function tokensMatch($request)
        {
            // 獲取請(qǐng)求url中的token
            $token = $this->getTokenFromRequest($request);
    
            return is_string($request->session()->token()) &&
                   is_string($token) &&
                   hash_equals($request->session()->token(), $token);
        }

        protected function getTokenFromRequest($request)
        {
            $token = $request->input("_token") ?: $request->header("X-CSRF-TOKEN");
    
            if (! $token && $header = $request->header("X-XSRF-TOKEN")) {
                $token = $this->encrypter->decrypt($header);
            }
    
            return $token;
        }

驗(yàn)證通過(guò)后將csrf token加入響應(yīng)包的cookie里,然后通過(guò)驗(yàn)證將請(qǐng)求通過(guò)next遞交給下一個(gè)處理件。

protected function addCookieToResponse($request, $response)
{

$config = config("session");

$response->headers->setCookie(
    new Cookie(
        "XSRF-TOKEN", $request->session()->token(), Carbon::now()->getTimestamp() + 60 * $config["lifetime"],
        $config["path"], $config["domain"], $config["secure"], false
    )
);

return $response;

}