Laravel如何保护应用免受CSRF攻击？（原理和示例）_网络技术

Laravel如何保护应用免受CSRF攻击？（原理和示例）

发布时间 - 2025-12-16 00:00:00 点击率：次

Laravel 默认通过 CSRF 中间件和 @csrf 指令防护 CSRF 攻击，原理是比对请求 token 与 session 中存储的随机加密 token 是否一致；AJAX 需手动设置 X-CSRF-TOKEN 请求头；api/、_ignition/、telescope/ 路由默认豁免验证。

Laravel 默认通过 CSRF 中间件和隐藏表单字段自动防护 CSRF 攻击，核心是验证每次非 GET 请求携带的 token 是否与服务端会话中存储的一致。

CSRF 保护原理

Laravel 在用户首次访问时生成一个随机、加密的 CSRF token，并存入当前 session。后续所有 POST、PUT、PATCH、DELETE 等非安全请求，都必须携带该 token（通常放在表单 hidden 字段或请求头中）。服务端收到请求后，比对提交的 token 和 session 中保存的是否匹配——不一致则拒绝请求，返回 419 状态码。

这个机制有效是因为：攻击者无法读取目标站点的响应内容（受同源策略限制），也就拿不到合法用户的 token，无法构造出带正确 token 的恶意请求。

表单中自动插入 CSRF token

在 Blade 模板中，使用 @csrf 指令即可插入隐藏字段：

渲染后等价于：

AJAX 请求如何携带 token

前端 JavaScript 发起 AJAX 请求时，需手动设置 X-CSRF-TOKEN 请求头：

先从 meta 标签中读取 token（Laravel 默认在 app.blade.php 中注入）：
然后在 JS 中统一设置 axios 或 jQuery：

// Axios 示例
axios.defaults.headers.common['X-CSRF-TOKEN'] = document.querySelector('meta[name="csrf-token"]').getAttribute('content');

// jQuery 示例
$.ajaxSetup({
  headers: {
    'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
  }
});

哪些路由默认豁免 CSRF 验证

Laravel 将以下路径前缀下的路由自动排除在 VerifyCsrfToken 中间件之外：

api/（API 路由组，默认无 session，用 token 认证）
_ignition/（调试工具 Ignition）
telescope/（Telescope 监控面板）

如需自定义豁免规则，可在 app/Http/Middleware/VerifyCsrfToken.php 的 $except 数组中添加路径模式，例如：
protected $except = ['stripe/webhook', 'webhook/*'];

基本上就这些。不复杂但容易忽略的是：AJAX 请求漏设 header、手动构造表单忘了 @csrf、或误将 API 路由放到 web 中间件组里——这三类最容易引发 419 错误。

# php # javascript # laravel # java # jquery # js # 前端 # ajax # app # axios # 工具

相关栏目：【网站优化151355 】【网络推广146373 】【网络技术251813 】【 AI营销90571 】

上一篇：Python进程池调度策略_任务分发说明【指导】

下一篇：如何在阿里云虚拟服务器快速搭建网站？

相关栏目网站优化
网络推广
网络技术
AI营销

最新文章 Sublime怎么一键压缩JS代码 Su sublime如何在搜索中使用正则表达式 Sublime如何设置透明窗口效果 Su mysql如何设计商品表结构_mysql css属性背景图不显示怎么办_通过检查路如何使用Golang实现排序_Golan 农历闰月是怎么回事_为合回归年加一月调整塑造《刺客信条》艾吉奥传奇的编剧离开育碧 1英里等于多少公里 1mile和km的换 css grid布局中行和列是如何定义的 PS批量旋转和翻转图片，快速校正图片方向 C# Swagger UI自定义方法 C OPPO手机九宫格和全键盘怎么切换_OP Go语言如何实现用户登录注册_Golan 1节飞行速度多少公里每小时 1节是多少公纸嫁衣8千子树第五章庙门怎么开启庙门 Laravel 多行数据编辑表单中实现逐明日之后如何提升钓鱼等级明日之后提升钓支付宝怎样查年度账单_支付宝年度账单查看 C# 多线程UI更新Dispatcher

上一篇：Python进程池调度策略_任务分发说明【指导】

下一篇：如何在阿里云虚拟服务器快速搭建网站？