Laravel CSRF中间件没有检查X-CSRF-TOKEN请求头

Question

中间件:

use Closure;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier {

    public function handle($request, Closure $next)
    {
        return parent::handle($request, $next);
    }

}

Javascript：

$.ajaxSetup({
    headers: {
        'X-CSRF-TOKEN': 'wrong-token-to-test',
        'X-XSRF-TOKEN': 'another-wrong-token-to-test',
    }
});

刀片：

$.ajax({
      method: "POST",
      url: "{{url("login/$user")}}",
      data: {
         "email": $("#email").val(),
         "password": CryptoJS.SHA256($('#password').val()).toString(),
         "_token": "{{csrf_token()}}"
      }
})

即使将错误的Http头值（“wrong-token-to-test”）用于csrf令牌，也不会导致任何令牌不匹配异常。请求会正常处理。这是否意味着Laravel没有检查X-CSRF-TOKEN标头？

- Ishtiaque Khan

Answer 1

Laravel首先尝试从名为_token的参数中获取CSRF令牌，在get或post请求中，如果找不到，则再次尝试从X-CSRF-TOKEN中获取。以下是在/vendor/laravel/framework/src/Illuminate/Foundation/Http/Middleware/VerifyCsrfToken中实现逻辑的代码，方法tokensMatch：

$token = $request->input('_token') ?: $request->header('X-CSRF-TOKEN');

但是你已经在ajax post中有效地包含了_token参数（并且值正确）：

"_token": "{{csrf_token()}}"

因此，您在X-CSRF-TOKEN头中发送什么并不重要。

- xAoc