php中间件1009无标题,php – Laravel CSRF中间件未检查X-CSRF-TOKEN请求标头

中间件：

use Closure;

use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier {

public function handle($request, Closure $next)

{

return parent::handle($request, $next);

}

}

使用Javascript：

$.ajaxSetup({

headers: {

'X-CSRF-TOKEN': 'wrong-token-to-test',

'X-XSRF-TOKEN': 'another-wrong-token-to-test',

}

});

刀：

$.ajax({

method: "POST",

url: "{{url("login/$user")}}",

data: {

"email": $("#email").val(),

"password": CryptoJS.SHA256($('#password').val()).toString(),

"_token": "{{csrf_token()}}"

}

})

即使对csrf令牌使用错误的Http头值(‘wrong-token-to-test’)也不会导致任何令牌不匹配异常.请求正常处理.这是否意味着Laravel没有检查X-CSRF-TOKEN标头？

解决方法:

Laravel首先尝试从get或post中的_token参数获取CSRF令牌,如果丢失,那么它会尝试从X-CSRF-TOKEN获取它.这是/ vendor / laravel / framework / src / Illuminate / Foundation / Http / Middleware / VerifyCsrfToken中的代码中的实现逻辑,方法tokensMatch：

$token = $request->input('_token') ?: $request->header('X-CSRF-TOKEN');

但是你已经在ajax帖子中有效地包含了_token参数(并且具有正确的值)：

"_token": "{{csrf_token()}}"

因此,您在X-CSRF-TOKEN标头中发送的内容无关紧要.

标签：php,laravel,ajax,csrf,middleware

来源： https://codeday.me/bug/20190829/1761242.html