Laravel 跨站参数过滤 - Laravel 跳转

在 Laravel 应用中，跨站请求伪造（CSRF）和参数过滤是常见的安全问题。本文将介绍如何在 Laravel 中解决这些问题，并提供多种解决方案。

解决方案概述

为了防止 CSRF 攻击，Laravel 默认提供了 CSRF 保护机制。同时，通过参数过滤可以确保传入的数据是安全的。本文将详细介绍如何使用 Laravel 的内置功能来实现这些安全措施，并提供几种不同的实现思路。

使用 Laravel 内置的 CSRF 保护

Laravel 自带的 VerifyCsrfToken 中间件可以自动处理 CSRF 保护。这个中间件会检查每个 POST 请求中的 _token 参数，确保其与用户会话中的 token 匹配。

配置中间件

首先，确保 VerifyCsrfToken 中间件已添加到 app/Http/Kernel.php 文件中的全局中间件数组中：

php
protected $middlewareGroups = [
    'web' => [
        AppHttpMiddlewareEncryptCookies::class,
        IlluminateCookieMiddlewareAddQueuedCookiesToResponse::class,
        IlluminateSessionMiddlewareStartSession::class,
        IlluminateViewMiddlewareShareErrorsFromSession::class,
        AppHttpMiddlewareVerifyCsrfToken::class,
        IlluminateRoutingMiddlewareSubstituteBindings::class,
    ],</p>

<pre><code>'api' => [
    'throttle:60,1',
    IlluminateRoutingMiddlewareSubstituteBindings::class,
],

];

在表单中添加 CSRF 令牌

在 HTML 表单中添加 CSRF 令牌：

html</p>


    @csrf
    
    <button type="submit">Submit</button>


<p>

@csrf 指令会生成一个隐藏的输入字段，包含 CSRF 令牌。

参数过滤

为了确保传入的数据是安全的，可以使用 Laravel 的请求验证功能。

使用 Form Request

创建一个新的 Form Request 类来处理参数验证：

bash php artisan make:request StoreUserRequest

编辑生成的 StoreUserRequest 类：

php
namespace AppHttpRequests;</p>

<p>use IlluminateFoundationHttpFormRequest;</p>

<p>class StoreUserRequest extends FormRequest
{
    public function authorize()
    {
        return true; // 或者根据需要返回 false
    }</p>

<pre><code>public function rules()
{
    return [
        'name' => 'required|string|max:255',
        'email' => 'required|email|unique:users',
        'password' => 'required|string|min:8',
    ];
}

}

在控制器中使用这个 Form Request：

php
namespace AppHttpControllers;</p>

<p>use AppHttpRequestsStoreUserRequest;
use AppModelsUser;</p>

<p>class UserController extends Controller
{
    public function store(StoreUserRequest $request)
    {
        User::create($request->validated());</p>

<pre><code>    return redirect()->route('users.index')->with('success', 'User created successfully.');
}

}

使用 Request 验证

如果不想使用 Form Request，可以直接在控制器中使用 validate 方法：

php
namespace AppHttpControllers;</p>

<p>use IlluminateHttpRequest;
use AppModelsUser;</p>

<p>class UserController extends Controller
{
    public function store(Request $request)
    {
        $validatedData = $request->validate([
            'name' => 'required|string|max:255',
            'email' => 'required|email|unique:users',
            'password' => 'required|string|min:8',
        ]);</p>

<pre><code>    User::create($validatedData);

    return redirect()->route('users.index')->with('success', 'User created successfully.');
}

}