लार्वेल सीएसआरएफ टोकन

Question

संपादित करें: मुझे शुरुआत में यह कहना चाहिए था, मैं फ्रोनएंड में एंगुलरजेएस का उपयोग कर रहा हूं, और मैं एक्सएचआर के माध्यम से सभी अनुरोध कर रहा हूं। मैं प्रत्येक उपयोगकर्ता अनुरोध के लिए CSRF Token का उपयोग कर एक एप्लिकेशन विकसित कर रहा हूं।

क्या मुझे प्रत्येक अनुरोध के बाद Token पुन: उत्पन्न करना चाहिए?

या

Session::forget("_token") and Session::put("_token", RANDOM_SOMETHING) 

तरह यह काफी एक ही एक-एक उपयोगकर्ता Session उपयोग करने के लिए है?

क्या कोई फायदा है?

Answer 1

Laravel आप के लिए यह करना चाहिए, आप यहाँ डॉक्स में 'CSRF संरक्षण' अनुभाग देखें _token

<input type="hidden" name="_token" value="<?php echo csrf_token(); ?>"> 

के निर्माण/विलोपन का प्रबंधन करने की जरूरत नहीं है: http://laravel.com/docs/security

Answer 2

निर्भर करता है । यदि हमलावर एमआईटीएम नहीं है, इस अर्थ में कि वे आपके वेब ऐप और एपीआई सर्वर के बीच यातायात पर नजर नहीं रख सकते हैं, पूरे सत्र के लिए एक सीएसआरएफ टोकन पर्याप्त होना चाहिए।

मान लें कि आप सर्वर-साइड पर भी संवेदनशील संचालन की रक्षा करते हैं (यानी संसाधन के मालिक को केवल संसाधनों तक पहुंच की अनुमति दें, जैसे "मेरा खाता हटाएं" आदि) टोकन यह सुनिश्चित करेगा कि अनुरोध करने वाला ब्राउज़र है वैध, प्रमाणीकृत उपयोगकर्ता का ब्राउज़र। मुझे लगता है कि आपको चिंता करनी चाहिए।

दूसरी तरफ, यदि हमलावर वेब ऐप और आपके एपीआई के बीच गैर-सुरक्षित यातायात को देखने में सक्षम है, तो वे सीएसआरएफ टोकन और आपके session_id को पकड़ सकते हैं और खराब सामग्री को पारदर्शी रूप से कर सकते हैं। इस तरह के मामले में प्रत्येक अनुरोध (POST, या संवेदनशील ऑपरेशन करने वाले किसी भी प्रकार के लिए टोकन को छोड़कर) को छोड़कर, केवल अपनी नौकरी को थोड़ा और कठिन बना देता है, लेकिन आप अभी भी बर्बाद हो जाते हैं।

मेरे 2 सेंट ...

Answer 3

Laravel 5 के साथ ब्लेड टेम्पलेट का उपयोग कर, यह बहुत आसान है।

आप केवल CSRF टोकन का मान चाहते हैं, आप इसे लिखित द्वारा उत्पन्न कर सकते हैं:

{{ csrf_token() }} 

जो इस तरह टोकन मान उत्पन्न करता है:

7YC0Sxth7AYe4RFSjzaPf2ygLCecJhPbyXhz6vvF 

---

आप कर रहे हैं फॉर्म का उपयोग करके, आप फॉर्म के अंदर कोड की निम्न पंक्ति जोड़ सकते हैं:

{{ csrf_field() }} 

जो इस तरह एचटीएमएल उत्पन्न करेगा:

<input type="hidden" name="_token" value="7YC0Sxth7AYe4RFSjzaPf2ygLCecJhblahblah">