Laravel5.3+框架定义API路径取消CSRF保护方法详解

从Laravel 5.3+开始，API路径被放入了routes/api.php中。我们绝大多数的路径其实都会在web.php中定义，因为在web.php中定义的路径默认有CSRF保护，而API路径默认没有CSRF保护。在Laravel官网文档中写到：/p>

Any HTML forms pointing to POST, PUT, or DELETE routes that are defined in the web routes file should include a CSRF token field. Otherwise, the request will be rejected.

所以，请注意你页面的表单中是否使用了POST、PUT或DELETE方法，如果有，并且你没有在表单中添加相应的CSRF token时，你的请求将会失败。

有时候，我们可能不想要CSRF保护。比如我们想使用第三方软件测试表单提交，或者比如微信公众号接口的开发时，当微信服务器使用POST推送给我们消息时，如果开启了CSRF保护，那么请求肯定是失败的。

在这样的情况下，我们可以使用API路径来取消CSRF保护。

我们有两种办法来定义API Routes。

第一种办法：

将routes放进VerifyCsrfToken这个middleware的$except数组里：

<?php      

namespace App\Http\Middleware;    

use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;    

class VerifyCsrfToken extends BaseVerifier
{
  /**
   * The URIs that should be excluded from CSRF verification.
   *
   * @var array
   */
  protected $except = [
    '/api/my-route',
  ];
}

以上middleware的位置在app/Http/Middleware文件夹中。

第二种方法：

将routes放进api.php里：

<?php      

use Illuminate\Http\Request;      

/*
|--------------------------------------------------------------------------
| API Routes
|--------------------------------------------------------------------------
|
| Here is where you can register API routes for your application. These
| routes are loaded by the RouteServiceProvider within a group which
| is assigned the "api" middleware group. Enjoy building your API!
|
*/      

Route::middleware('auth:api')->get('/user', function (Request $request) {
  return $request->user();
});      

Route::get('/wechat', 'WechatAPIController@some-method');
Route::post('/wechat', 'WechatAPIController@some-other-method');

api.php和web.php同处于routes文件夹下。

在api.php中添加的路径，在访问时，我们需要在路径前，加上api/前缀：

//www.jb51.net/api/wechat

好了，这样一来，我们就完成了API路径的定义，或者换句话说，取消了路径的CSRF保护。

本文主要讲解了Laravel框架定义API路径取消CSRF保护的操作方法，更多关于Laravel框架的使用技巧请查看下面的相关链接

赞 (0)

相关推荐

  • Laravel 解决419错误 -ajax请求错误的问题(CSRF验证)

    程序内容相关:Laravel+ajax+CSRF 好吧还有好多能扯出来好像有点多而且微不足道得像面前鼠标垫上的纤维不重要所以就不扯了啊我废话好多 贴上自己的解决办法,两行内容 1.在页面上添加 <meta name="csrf-token" content="{{ csrf_token() }}"> 2.然后在页面的script标签{{– 这句是废话,但是,啊我的博客好短不想删 – }}中添加 $.ajaxSetup({headers: {'X-CSRF

  • laravel框架中表单请求类型和CSRF防护实例分析

    本文实例讲述了laravel框架中表单请求类型和CSRF防护.分享给大家供大家参考,具体如下: laravel中为我们提供了绑定不同http请求类型的函数. Route::get('/test', function () {}); Route::post('/test', function () {}); Route::put('/test', function () {}); Route::patch('/test', function () {}); Route::delete('/test

  • Laravel框架中VerifyCsrfToken报错问题的解决

    Laravel框架中VerifyCsrfToken报错问题的解决

    前言 本文主要给大家介绍了关于Laravel框架中VerifyCsrfToken报错问题的相关内容,分享出来供大家参考学习,下面话不多说了,来一起看看详细的介绍吧. 报错情况 form 表单进行 post 方式提交数据时,遇到如下的报错情况. TokenMismatchException in VerifyCsrfToken.php line 67: in VerifyCsrfToken.php line 67 at VerifyCsrfToken->handle(object(Request)

  • laravel框架 api自定义全局异常处理方法

    api返回实现 $result = User::find($id); if(empty($result)){ throw new ApiException('获取失败'); } else{ return json_decode($result); } api返回信息 { "msg": "", "data": "获取失败", "status": 0 } 1,添加异常类 namespace App\Except

  • laravel csrf排除路由,禁止,关闭指定路由的例子

    百度了下,发现别的教程里需要更改文件,实际上很简单,官方提供了接口可以用来设置; laravel的csrf防范是通过app/http/Middleware目录下的中间件VerifyCsrfToken.php来生效的,如下所示在官方的代码 有个属性$except,可以专门用来设置哪些路由不用做csrf验证: <?php namespace App\Http\Middleware; use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken a

  • 让Laravel API永远返回JSON格式响应的方法示例

    让Laravel API永远返回JSON格式响应的方法示例

    json格式 JSON(JavaScript Object Notation) 是一种轻量级的数据交换格式,易于阅读和编写,同时也易于机器解析和生成.它基于ECMA262语言规范(1999-12第三版)中JavaScript编程语言的一个子集. JSON采用与编程语言无关的文本格式,但是也使用了类C语言(包括C, C++, C#, Java, JavaScript, Perl, Python等)的习惯,这些特性使JSON成为理想的数据交换格式. 本文将给大家详细介绍关于让Laravel API永

  • Laravel+Dingo/Api 自定义响应的实现

    在最近的开发开发项目中,我使用了Dingo/Api这个第三方Api库. Dingo是个很强大的Api库, 但在开发的过程中,需要自定义响应字段. 刚开始使用Ding/Api时,返回如下: { "message": "422 Unprocessable Entity", "errors": { "mobile": [ "手机号格式不正确" ] }, "status_code": 422 }

  • 基于laravel制作APP接口（API）

    基于laravel制作APP接口（API）

    前期准备 前言,为什么做以及要做个啥 本人姓小名白,不折不扣编程届小白一名,但是自从大一那会儿接触到编程这件奇妙的事情,就完完全全的陷入的程序的世界. 这不,最近又开始折腾APP了,话说现在开发一款APP真是容易,只用JavaScript和一点点HTML+css技术就可以完成.但是做APP的后台就不一样了.开发了APP,想让读点数据进去,那我们就要去开发个后台了. laravel框架,是我最喜欢的PHP框架了,没有之一.去年就曾经用laravel写了我的个人网站但粗糙程度让我十分脸红,好了不扯了

  • 对laravel的csrf 防御机制详解,及form中csrf_token()的存在介绍

    一. 什么是 CSRF ? CSRF是Cross Site Request Forgery的缩写,看起来和XSS差不多的样子,但是其原理正好相反,XSS是利用合法用户获取其信息,而CSRF是伪造成合法用户发起请求.具体操作原理看google.. 二.Laravel的CSRF防御过程 Laravel 会自动在用户 session (根据session_id 关联确认属于谁) 生成存放一个随机令牌(token)放在session中,并且如果使用 Laravel 的 {{form::open}} 会自

  • laravel 实现关闭CSRF(全部关闭、部分关闭)

    用了laravel就会知道其中的csrf验证功能,如果post传值的时候,没有csrf_token就会报如下的错误: 这是因5.2之后的版本中会默认在路由里面添加 web 中间件. 在app/Http/Kernel.php文件中有如下配置: 全部关闭 到此,想必大家就知道了如何关闭这个验证了.就是将上图标注的这一行代码注释掉,这样就关闭了csrf验证,但这就全部关闭了. 部分关闭 当我们写接口的时候,会遇到这样的问题:因为通过接口是无法传csrf_token的(csrf_token是在larav

  • 在 Laravel 中动态隐藏 API 字段的方法

    我最近在 Laravel Brasil 社区看到一个问题,结果比看起来更有趣.想象一下你有一个 UsersResource 用下面的实现: <?php namespace App\Http\Resources; use Illuminate\Http\Resources\Json\Resource; class UsersResource extends Resource { /** * Transform the resource into an array. * * @param \Illu

随机推荐