Laravel CSRF 中间件未检查 X-CSRF-TOKEN 请求 header

Question

中间件：

use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier {

    public function handle($request, Closure $next)
    {
        return parent::handle($request, $next);
    }

}

Javascript:

$.ajaxSetup({
    headers: {
        'X-CSRF-TOKEN': 'wrong-token-to-test',
        'X-XSRF-TOKEN': 'another-wrong-token-to-test',
    }
});

Blade:

$.ajax({
      method: "POST",
      url: "{{url("login/$user")}}",
      data: {
         "email": $("#email").val(),
         "password": CryptoJS.SHA256($('#password').val()).toString(),
         "_token": "{{csrf_token()}}"
      }
})

即使为 csrf 令牌使用错误的 Http header 值 ('wrong-token-to-test') 也不会导致任何令牌不匹配异常。请求被正常处理。这是否意味着 Laravel 没有检查 X-CSRF-TOKEN header？

Answer 1

Laravel 首先尝试从get或post中名为_token的参数获取CSRF令牌，如果丢失，THEN 它会尝试从 X-CSRF-TOKEN 中获取它。下面是/vendor/laravel/framework/src/Illuminate/Foundation/Http/Middleware/VerifyCsrfToken中代码的实现逻辑，方法tokensMatch:

$token = $request->input('_token') ?: $request->header('X-CSRF-TOKEN');

但是您已经在 ajax post:

中有效地包含了 _token 参数（并且具有正确的值）

"_token": "{{csrf_token()}}"

因此，您在 X-CSRF-TOKEN header 中发送什么并不重要。

Laravel CSRF 中间件未检查 X-CSRF-TOKEN 请求 header

Laravel CSRF middleware is not checking X-CSRF-TOKEN request header

php

ajax

middleware

csrf

laravel