当我向服务器发出快速ajax请求时，Laravel会更改我的CSRF令牌
当你向服务器发出快速ajax请求时，Laravel会更改你的CSRF令牌。CSRF（Cross-Site Request Forgery）跨站请求伪造是一种常见的网络安全攻击方式，攻击者通过伪造用户的请求，使用户在不知情的情况下执行恶意操作。为了防止CSRF攻击，Laravel引入了CSRF令牌机制。
CSRF令牌是一种随机生成的字符串，用于验证请求的合法性。当用户登录系统时，Laravel会为该用户生成一个唯一的CSRF令牌，并将其存储在会话中。每次用户发起请求时，Laravel会自动将CSRF令牌添加到请求中，服务器会验证该令牌是否有效，如果无效则拒绝请求。
在快速ajax请求的情况下，Laravel会更改CSRF令牌的目的是为了增加安全性。由于快速ajax请求可能会在短时间内频繁发送多个请求，如果每次请求都使用相同的CSRF令牌，那么攻击者可以通过截获其中一个请求的令牌，然后在短时间内发起大量的伪造请求。为了防止这种情况发生，Laravel会在每次请求之前更改CSRF令牌，确保每个请求都使用不同的令牌。
通过更改CSRF令牌，Laravel提高了系统的安全性，有效地防止了CSRF攻击。开发者在使用Laravel进行前后端开发时，无需手动处理CSRF令牌的更改，Laravel会自动完成这个过程。这样，开发者可以专注于业务逻辑的实现，而无需过多关注安全性的细节。
腾讯云提供了一系列与云安全相关的产品和服务，例如Web应用防火墙（WAF）、DDoS防护、安全加速等，可以帮助用户保护云服务器和应用程序的安全。具体产品介绍和更多信息，请参考腾讯云的官方网站：https://cloud.tencent.com/product/waf
相关·内容
1回答
我正在使用模块来保护我的公共路由，防止跨站点请求伪造。服务器和客户端托管在两个不同的域上，因此我不能使用直接方法将生成的令牌传递给客户端。
现在，我已经在服务器上创建了两个不同的端点，/csrfToken在标头中发送生成的令牌和csrf cookie，路由/register必须验证给定的令牌和csrf cookie是否正确。
const csrfProtection = csrf({
cookie: {
maxAge: 900
}
})
router.get('/csrfToken', csrfProtection, async (req, res, next
浏览 3提问于2020-04-03得票数 0
我试图在laravel 5.2中使用ajax向服务器发送一个带有url的参数，但是当url的长度超过5000 char时，我将面临Http在路由中找不到的错误，这里是我的ajax代码：
$.ajax({
url: '/uploadQuestionMod5/',
type: 'GET',
data: {_token: CSRF_TOKEN , jcategory2:jcategory2 , jquestionText:jquestionText , jkind:jkind},
dataType: 'JSON',
浏览 4提问于2017-03-02得票数 0
我有一个正在运行的Laravel 5项目，并且我正在尝试使用AJAX调用将一些输入数据发送回服务器。然而，我总是遇到内部服务错误。
我有一个"user“资源，我正在使用它：
代码如下：
routes.php：
Route::resource('user', 'UserController');
我已经设置了UserController.php和User.php模型。
我将Ajax调用包装在一个react.js函数中：
saveAndContinue: function(e) {
e.preventDefault()
// Get val
浏览 3提问于2015-07-01得票数 0
2回答
我读过关于CSRF的文章，以及如何使用不可预测的同步器令牌模式来防止它。我不太明白它是怎么工作的。
让我们来看看这个场景：
用户将使用以下表单登录到网站：
<form action="changePassword" method="POST">
<input type="text" name="password"><br>
<input type="hidden" name="token" value='asdjkldssdk22332n
浏览 6提问于2015-07-09得票数 34
回答已采纳
我有一个GWT web应用程序与Django服务器端一起工作。我最近将Django升级到1.2，无法从我的GWT应用程序中获得HTTP帖子。我得到了这个错误：
CSRF验证失败。请求中止。
失败的原因：
CSRF令牌丢失或不正确。
我已经启用了csrf中间件(‘django.medileware.csrf.CsrfView中间件’)，它正在为登录之类的控制应用程序工作，但似乎没有将令牌添加到通过GWT发布的帖子中。有什么想法吗？提前谢谢。
浏览 2提问于2010-09-20得票数 1
回答已采纳
2回答
注意:这个问题是而不是关于失败的AJAX请求，是关于失败的常规表单提交。
我在CodeIgniter 3中启用了CSRF保护，使用了以下config.php
$config['csrf_protection'] = TRUE;
$config['csrf_token_name'] = 'csrf_token_name';
$config['csrf_cookie_name'] = 'csrf_cookie_name';
$config['csrf_expire'] = 7200;
$config[&
浏览 0提问于2018-02-06得票数 0
我的home.blade文件如下所示
<div id="new">
<form class="form-horizontal" role="form" enctype="multipart/form-data" method="POST" v-on:submit.prevent="addPost">
<h4>@{{message}}</h4>
<div class="fo
浏览 0提问于2017-10-16得票数 1
3回答
我正在使用Laravel(后端)和ReactJS与JQuery(前端)构建一个类似CMS的web应用程序。
我决定将现有的Web放到一个单独的域(api.test.com)中，我的用户界面位于不同的域(test.com)上。
在test.com上，我向api.test.com发出ajax请求，以修改服务器上的一些资源：
$.ajax({
url: "api.test.com",
method: 'POST',
data: {...}
success: function (no) {
// ...
}
});
浏览 7提问于2015-07-16得票数 5
回答已采纳
我的问题是关于csrf令牌，这些令牌的目的，我们能伪造它..。
问题同一性
让我们假设我们有一个具有这个url的bank.com来对一个账户bank.com/ make -transactions?amount=100USD&to=accountId进行交易，该链接只能由经过身份验证的用户(取决于cookies中的SessionID )从具有bank.com站点中的事务表单的页面访问。
当一个malicious.com将一个带有隐藏字段的假表单提交到上面的url时，问题就出现了。导致此提交文件发送cookies中的SessionID (与bank.com相关)，将完成事务处理
CSRF
浏览 0提问于2018-10-28得票数 0
回答已采纳
4回答
我请求POST：
路线：
Route::post('/register','CommonController@postRegister')->name('register');
CSRF元标签：
<meta name="csrf-token" content="{{ csrf_token() }}">
$("#submitSalonForm").click(function(e) {
$.ajaxSetup({
headers: {
'X
浏览 2提问于2018-02-08得票数 2
回答已采纳
1回答
我正在构建一个web应用程序，并附带一个使用Jekyll的小型网站。原因是网站几乎永远不会改变，这样它就能够快速运行(纯HTML+CSS和一些JavaScript)并且半独立于应用程序。
Jekyll站点位于Laravel公用文件夹中，运行良好。就目前情况而言，希望使用我们的应用程序的用户需要访问默认的Laravel登录路由(/login)。
我想在我的网站页面上添加一个登录表单，使用户能够在不访问应用程序的情况下登录。
当然，我尝试添加一个简单的表单并将其发布到/login (默认的Laravel路由)，但是这是行不通的，因为Laravel希望设置一个csrf令牌。我知道Laravel设置了
浏览 4提问于2017-04-30得票数 4
回答已采纳
1回答
我阅读了很多关于CSRF令牌的内容，但我仍然有几个问题。
例如，我将使用codeigniter 3演示我的情况。
我有登录表单并向/ ajax /login发出ajax请求
在发送此请求之前，我有一个带有生成的csrf令牌的meta标签
<meta name="csrf-token" content="<?= $this->security->get_csrf_hash(); ?>">
和
$.ajaxSetup({
headers: {
'X-C
浏览 5提问于2016-03-27得票数 2
Laravel文件说：
Laravel自动为应用程序管理的每个活动用户会话生成CSRF“令牌”。此令牌用于验证经过身份验证的用户是实际向应用程序发出请求的人。由于此令牌存储在用户的会话中，并且每次重新生成会话时都会更改，因此恶意应用程序无法访问它。
Laravel session.php文件在默认情况下保证会话cookie生存期为120分钟：
'lifetime' => env('SESSION_LIFETIME', 120)
让我们想象一下，例如，我在Laravel应用程序中进行身份验证，并接收会话cookie。如果在认证后120分钟内，我将访问一个
浏览 4提问于2021-05-20得票数 0
回答已采纳
hy，我现在是使用L5和yajra/datatables plugin.when的新手，我点击了delete按钮，它给出一个错误"tokenMismatchException in VerifyCsrfToken.php line 53:“我的代码是
controller.php
return Datatables::of($users)
->addColumn('action', function ($id) {
return '<button class="btn-delete" data-r
浏览 0提问于2016-05-09得票数 0
1回答
我有一个项目分在后端和前端，后端(API )是在Laravel 5中构建的，而前端是在AngularJS中构建的。这两个项目都是独立的，它们应该托管在不同的服务器上。
在第一个请求中，我使用以下代码从Laravel获得CSRF令牌：
var xhReq = new XMLHttpRequest();
xhReq.open("GET", "http://laravel.local/api/token", false);
xhReq.send(null);
angular.module('mytodoApp').constant('CSRF_
浏览 6提问于2015-04-28得票数 3
1回答
我试图通过使用struts令牌拦截器来保护我的web应用程序免受CSRF攻击。
我现在面临的问题是，我们的JSP页面对服务器进行多个调用(当JSP转换为JS时，这个JS中向JS.But添加了struts令牌，有多个Ajax请求。我希望我能说清楚。)，因为令牌拦截器只对服务器的第一个请求进行了验证。其他请求正在失效，因为struts令牌在每次验证后被重置。
是否有一种方法可以阻止Struts每次验证时重置令牌？在struts拦截器中是否有其他解决方案来处理这个问题。
我也在看tomcatcsrfprotection模块，我想我在这里也会遇到同样的问题。
managepage.jsp**:**
&
浏览 10提问于2014-05-07得票数 8
回答已采纳
在检查我的CI 3.1.11代码以清理它(由XAMPP v2.3.4 localhost托管)时，如果我运行CI的跨站点请求伪造(csrf)保护，我似乎已经做了一些事情来阻止服务器接受任何jqxhr请求。
我正在使用其他http请求从服务器和外部文件(如加载jquery的<head>行、我的css文件等)获取信息。不管css设置的状态如何，这些文件都可以正常工作。
当我设置：$config['csrf_protection'] = TRUE;时，我的jqxhr请求总是会得到http 403错误(拒绝请求，这意味着有人试图进行黑客攻击)。我的基本问题是理解为什么会发生
浏览 5提问于2020-02-14得票数 0
回答已采纳
1回答
我有web应用程序，它被分成两个独立的模块(客户端和服务器端)。服务器定义了REST服务，客户端调用REST服务来获取数据。我想让服务器免受CSRF攻击。因此，任何客户端POST/PUT/DELETE都需要在报头中传递csrf token，并且token的值应该等于会话中保存的csrfToken。我的问题是，既然csrf token是由服务器生成的，客户端应用程序如何获取token值？
如果客户端在登录后发送GET请求，服务器生成csrf令牌，将其存储为会话属性，并将其发送回客户端作为响应，或者有更好的解决方案吗？
浏览 0提问于2015-01-15得票数 1
我正在将我的应用程序从Laravel4.2迁移到5.7。我有一个删除用户的逻辑:这个操作是按一下触发的。
$.ajaxSetup({
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
})
$.ajax({
type: "DELETE",
url: "{{ URL::to('administrator/admin-delete') }}"+
浏览 0提问于2019-01-22得票数 0
回答已采纳
首先，我只想说，我已经阅读了与这个主题有关的所有其他线索，但没有任何运气。下面是这个问题的分类：
目标
当Ember应用程序启动时，从Sails检索CSRF令牌
将CSRF令牌注入每个从Ember应用程序启动的AJAX请求中
为了满足目标1，我创建了一个Ember初始化器，它在应用程序第一次启动时运行(如果有更好的位置，我完全可以接受建议)。为了满足目标2，我从Sails检索CSRF令牌，然后尝试使用Ember.$.ajaxSetup()来确保CSRF令牌作为标头(X-CSRF-Token)或参数(_csrf)传递。我还确保使用withCredentials选项来确保cooki
浏览 4提问于2015-07-09得票数 7
我有一个项目，一个Play Framework应用程序作为Chrome扩展的API后端。由于我没有为Play Framework项目指定任何过滤器，它默认启用CSRF保护(通过CSRFFilter)，这可能适合我的情况，也可能不适合我的情况。
在Chrome扩展中，我首先发出一个jQuery AJAX调用来登录，以便Play Framework设置一个用户令牌cookie (它将用于在随后的所有API调用中标识用户)：
$.ajax({
method: 'POST',
url: serverUrl + "api/googl
浏览 7提问于2017-10-07得票数 2
回答已采纳
下面是我的代码，以及我如何使用Ajax提交数据。在第一次提交时，数据被成功地发布，但是当我再次尝试时，它失败了，我怀疑它来自无效的csrf，因为可能会生成一个新的令牌。我该如何解决这个问题？
$('#icon').on('click', '#test', function() {
var ids = $(this).data('id');
var csrfName = '<?php echo $this->securi
浏览 0提问于2020-01-15得票数 0
回答已采纳
2回答
我的CSRF保护方法安全吗？
、、、、
我一直在使用PHP进行我自己的CSRF保护。根据我所读到的，我决定使用cookie来实现我的保护，但是对于我的方法是否对CSRF攻击是安全的感到有点困惑。
所以我的方法如下：
用户发送请求登录
服务器检查是否设置了CSRF令牌，如果没有创建令牌，则将其存储在会话中，并与令牌一起创建Cookie
通过检查CSRF令牌是否在POST请求中来验证CSRF令牌，如果没有，则在$_COOKIE中检查该令牌。
如果令牌无效..。
我决定使用cookie来存储令牌，因为这将适用于Ajax请求，而且我不必每次使用Ajax帖子时都包含它。
我感到困惑的是，攻击者不能仅仅发出一个请求；PO
浏览 7提问于2017-09-27得票数 3
回答已采纳
我正在尝试发送一个带有Guzzle的POST请求到一个远程的Laravel服务器。问题是，由于默认的Laravel csrf中间件，请求总是会被拒绝。
该请求用于将用户从主服务器上传的图像文件转发到用于存储图像的服务器。
有没有办法使用Guzzle设置正确的令牌？
如果不是，关闭镜像服务器的csrf中间件是否安全，因为它只接收来自另一个服务器的请求？
浏览 2提问于2016-07-21得票数 0
我很难理解为什么来自第三方网站的帖子被拒绝了，即使该网站被添加到CSRF_TRUSTED_ORIGINS列表中的settings.py。在声明csrf检查失败的帖子之后，我收到了一个403错误。我认为将站点添加到CSRF_TRUSTED_ORIGINS应该使站点免于csrf检查。我还应该做些什么才能收到来自外部的邮件请求吗？我在运行django 3.2
CSRF_TRUSTED_ORIGINS = ['site.lv']
请求头：
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,i
浏览 18提问于2021-12-28得票数 5
回答已采纳
我正在从事一个Spring项目。通过启用和使用Spring安全性，我将CSRF令牌应用于登录表单。当我进入登录页面时，我可以看到使用名称_csrf自动生成的CSRF令牌。但是，当我使用ZAP扫描该项目时，仍然会收到有关反CSRF令牌的警告，如：抗csrf攻击失败。
我还尝试使用删除或编辑字段_csrf令牌，然后使用有效的用户名/密码登录。在这种情况下，我的网站总是返回405错误，所以我认为反csrf令牌工作正常.Csrf令牌是与会话一起生成的，因此不可能将csrf令牌从会话复制到其他会话。
我还将_csrf添加到了反CSRF令牌中，但它仍然不起作用：(您可以在这里检查图像- 反CSRF令牌)
浏览 0提问于2019-05-03得票数 1
3回答
7项目和VueJs2这是我的VueJs2代码
mounted: function() {
if(this.edit != null)
{
var token = document.head.querySelector('meta[name="csrf-token"]');
console.log(token);
$.ajax({
type:'POST',
url: path+'get_voucher_data',
浏览 0提问于2019-02-23得票数 1
回答已采纳
如何使用Ajax将Javascript变量传递给Php并检索这些变量？
我使用的是Jquery，在每一张幻灯片上，我都希望将javascript滑块值传递给php。
我在Ajax方面没有(不是很多)经验，我真的很感激帮助。
我的滑块是这样的：
$("#sliderNumCh").slider({
range: "min",
min: 0,
max: 20,
step: 1,
value: numbersOfChapters,
change : function
浏览 4提问于2016-07-18得票数 6
2回答
目前，我正试图建立一个网站的瘦作为后端和angularJS作为前端。因此，我看了几个教程和演示项目。这是最有趣的一个：
开箱即用，我对CSRF实现有问题。在本项目中，在中间件中实现了CSRF保护，以便在每个连接上应用。好还是坏都无关紧要。
但是，当我用composer和npm安装所有依赖项时，项目就不能正常工作，因为每个服务器连接都会获得一个新的CSRF令牌，将存储在PHP会话中。
因此，在这个项目的主页面上，有一个角度形式，它将发送一个用csrf令牌保护的字符串到服务器。然后，服务器只使用相同的字符串进行应答，而角控制器将其打印出来。WHen I在第一次触发表单提交时，一切都会很好，但是在第
浏览 2提问于2017-08-30得票数 0
回答已采纳
1回答
8我有一个表单，我使用了{!! csrf_field()!!}，我有两个选择元素，一个用于州，另一个用于城市，当州选择、更改ajax、发送和提供新城市时 如果这个ajax请求没有执行，我们没有问题，但是如果ajax请求发送然后表单提交，我们给出419页过期错误，这是ajax代码 $('#state').change(function () {
var state_id = $(this).val();
$.ajax({
type: 'get',
url: '/panel/selectCitiesBySta
浏览 30提问于2019-10-14得票数 0
回答已采纳
2回答
删除列表项时，是否需要使用CSRF token确认请求是否正确？
我认为csrf令牌的必要性取决于要删除的数据的重要性。我想知道我的想法是正确的？
<ul>
<li>item 1 <button type="button" onclick="deleteItem()">delete</button></li>
<li>item 2 <button type="button" onclick="deleteItem()">delete
浏览 11提问于2018-09-28得票数 0
3回答
我已经决定只用一个页面加载来实现我的Rails站点，并通过AJAX完成所有其他工作。问题是，在meta中生成的CSRF令牌一旦用于提交注册或签到表单，就会失效。我如何才能在不重新加载页面的情况下更新它？
浏览 0提问于2012-05-22得票数 4
2回答
Rest中的CSRF保护
、、、、
对于CSRF项目中的Symfony REST实现，我有一个问题。我使用的是AngularJS，AuthToken cookie使用NG $cookie服务存储，并在X-Auth-Token header中的每个请求中发送到服务器，问题是我真的需要实现CSRF保护吗？另一个问题是，如果答案是肯定的，我如何才能用Symfony做到这一点呢？因为它在服务器会话(不是RESTful )中存储令牌，所以实现类似Django的CSRF系统的最佳方法是什么(我猜它们将CSRF令牌存储在cookie中，然后将其与表单输入令牌进行比较？对不起，我的英语不好，谢谢！
浏览 4提问于2016-09-13得票数 0
回答已采纳
我正在尝试使用 PHP7.2.13在Laravel 5.7.18上安装。
我的应用程序使用JavaScript (Axios )在其内部使用API。
我在JavaScript web应用程序中得到了一个401未经授权的错误。我已经将和CreateFreshApiToken添加到web中。实际上，laravel_token cookie正在设置自己。但是，oauth表在数据库中是干净的。
Http/Kernel
protected $middlewareGroups = [
'web' => [
\App\Http\Middlewar
浏览 0提问于2018-12-18得票数 3
2回答
所以我正在使用在spotify下运行的spotilocal.com:4380服务器，facebook用它来更新/连接客户端桌面应用程序。
通过在网络面板中的一些嗅探，我发现了如何取回JSON字符串
http://8440.spotilocal.com:4380/remote/status.json?cors=&csrf=____&oauth=____
我的问题是-当我在facebook上时，如何才能在不手动检查网络面板的情况下获得csrf和oauth令牌。
浏览 0提问于2012-04-26得票数 0
回答已采纳
当javascript调用url有参数时，它返回一个错误'Method not allowed‘。
HTML
1.- <a href="{{ URL::to('acceso', ['option'=>'1']) }}">Acceso</a>
2.- <a href="{{ URL('acceso') }}">Acceso 2</a>
第一个选项返回错误。第二种选择效果很好。
这是路由：
Route::get('/acceso/{o
浏览 2提问于2018-10-18得票数 0
1回答
很多人谈论实施CSRF来阻止网页上的跨站点攻击。但我认为很容易妥协CSRF并向服务器提出请求。
那它是怎么工作的？
从页面开始，呈现表单，并使用CSRF令牌保留一个隐藏字段。
当表单提交时，另一个页面将期望CSRF令牌来验证请求。
在验证请求时，服务器将检查带有秘密的CSRF令牌，以查看令牌是否有效。
现在秘密本身存储在会话或cookie中。
这意味着，如果我去一个网站，复制CSRF令牌从网页，会话值从浏览器网络选项卡。在此之后，我可以构造一个CURL请求，设置这些值，并尽可能多地发出请求。
那么，CSRF到底有什么需要呢？
浏览 3提问于2016-01-04得票数 3
回答已采纳
1回答
在同步令牌模式中，我总是在隐藏字段或URL中看到CSRF令牌。将其附加到ajax post请求的末尾并让服务器决定是否需要使用它安全吗？如果是的话，为什么人们不这样做呢？
浏览 15提问于2016-11-18得票数 1
回答已采纳
我正在使用Ionic 2开发一个应用程序来登录到Laravel5.3服务器。当我从邮递员那里得到 CSRF令牌时，我看到CSRF令牌将永远不会改变，甚至不会改变我GET的次数(除非会话结束)。这样我就可以从邮递员登录，当用用户名和密码发布令牌时。但在我的Ionic 2应用程序中，每次我获得 CSRF令牌时，CSRF令牌都会更改为另一个。因此，CSRF验证总是返回错误。
我的GET从Laravel服务器返回CSRF令牌：
Route::get('api/csrf', function() {
return Session::token();
});
我的GET方法来自I
浏览 3提问于2017-07-09得票数 0
我正在尝试进行REST调用(对SAP Netweaver API方法)。API要求在调用时发送一个CSRF令牌。
当手动使用REST客户机时，我可以发送获取令牌的请求(使用包含头"X-CSRF-Token: Fetch"的HTTP和包含用于基本身份验证的编码凭据的另一个请求(“授权: basic ")。响应包含一个带有CSRF令牌的标头。在第二个调用中，我在头"X-CSRF-Token: <token>"中提供令牌和相同的编码凭据。第二个调用成功了，我得到了rest调用的结果。
现在，我想通过编程方式调用相同的API。
我是否需要
浏览 4提问于2017-09-15得票数 1
是否可以在某些请求/路由上有选择地应用CSRF令牌检查？如果我想申请在我的申请中使用的6个职位请求中的4个，这是否可能？CSRF是否与GET请求有任何关联？正如帆船参考文档所说的，“当启用CSRF保护时，对Sails服务器的所有非获取请求都必须伴随一个特殊的令牌，该令牌由查询字符串或HTTP中的头或参数标识。”普通的基于高速公路的应用程序也是一样的吗？
浏览 0提问于2015-07-27得票数 1
回答已采纳
我知道rails在默认情况下提供了来自rails3的CSRF保护。但是我的web应用程序是一个单一的页面应用程序，所有的通信都依赖于ajax。
因此，如何在每次ajax调用之前从服务器获得CSRF令牌？或者我能做的就是脱下CSRF保护，对吧？
注意:我们不使用任何rails视图来生成网页，甚至是主页，因此在.html或.erb中放置"<%= csrf_meta_tag %>“的解决方案是无效的。我们在一个页面内使用javascript框架。
我的env: rails3.2.3，devise2.0.4，dojo1.7.2
浏览 2提问于2012-06-25得票数 5
回答已采纳
1回答
我确实有一个用于数据库CRUD操作的graphqlAPI。身份验证是基于令牌的。因此，如果用户想要对我的数据库进行cruds (突变)，它需要一个有效的令牌才能做到这一点。
我不知道的是，我的graphql是否也被保护以防止CSRF攻击，因为我在csrf_exempt中豁免了这种保护。
如果没有csrf_exempt，它需要一个csrf令牌。是否有一种方法可以要求有效的csrf令牌而不将其发送到前端？graphql仅用于后端，用于将数据插入数据库，而在数据库中，我无法通过前端获得csrf令牌。
后端/前端: Django数据库: Mongo
谢谢
浏览 2提问于2022-11-16得票数 0
我有条路
Route::post('/subscription/save','SubscriptionController@save')->name('sub.save');
这是唯一没有重复的路径，我是从这个代码中通过Ajax提交的。
$.ajaxSetup({
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
})
浏览 0提问于2018-06-21得票数 0
回答已采纳
我有一个ajax函数，它触发从我的数据库中删除条目。
我需要做同样的CSRF验证。我该怎么做呢？
我将CSRF cookie与post请求一起发送，但是Yii 2.0没有对其进行验证，任何通过ajax传递的输入都会到达服务器。
如何对ajax请求进行CSRF验证。
是否需要手动设置cookie并检查？
浏览 1提问于2015-05-11得票数 8
回答已采纳
在这种情况下，我不想跳过verify_authenticity_token过滤器，也不想更改为protect_from_forgery with: :null_session。
在我的请求方法中，我使用csrf令牌设置一个标题，如下所示：
var token = document.querySelector("meta[name='csrf-token']").content;
xhr.setRequestHeader("X-CSRF-Token", token);
在我的控制器中插入一个断点，如下所示：
def verify_authentic
浏览 2提问于2014-10-18得票数 7
我读过关于django和angular的不同博客，但它们都在django项目中包含了客户端(HTML+CSS+JS)代码。
我想做的就是创建两个项目:一个包含所有客户端堆栈( HTML+JS+CSS)，另一个仅包含Django和Django-rest-framework。这意味着我可以在不同的项目中编写所有的演示代码，在不同的项目中编写服务器代码，但使用REST api将它们链接在一起。
但是有一个威胁，我应该总是考虑CSRF，Django的CSRF中间件提供了很好的安全性。
那么，有没有可能将我的客户端代码放在Django项目目录之外，同时仍然受到CSRF的保护呢？
浏览 1提问于2014-12-17得票数 2
我们有一个简单的网络应用程序，用户将不得不创建一个帐户。为了验证他们的电子邮件地址(稍后将用于为业务目的发送通知，这是应用程序的核心功能之一)，我们发送一个激活链接。
我们的激活链接导致一个不同的子域。由于这一点，以及用户能够在不同的计算机/浏览器(例如在PC上而不是在手机上)上打开此激活链接，用户在跟踪激活链接时将需要获得一个新的CSRF令牌。
当激活您的帐户，您不需要登录。(您可以登录，但不能登录到您正在激活的帐户。)
因此，当激活他们的帐户时，会发生以下情况：
用户单击链接，
处理这类请求的前端会打开，
前端向我们的服务器发出飞行前请求以获得CSRF令牌，
前端接收CSRF令牌，
前端使
浏览 0提问于2017-08-03得票数 1
我有iOS和安卓游戏，它们使用PHP与我的服务器对话。我在游戏里有脸书登录。我想对请求进行身份验证，以便服务器知道它来自一个登录用户。但是，我找到了这个答案：，使用PHP的最新版本(v5)，我没有看到这个方法：
$facebook->setAccessToken($token);.
浏览 5提问于2016-01-14得票数 0
回答已采纳
最近，我正在学习一些Web安全的基础知识，有些东西我无法理解。如何在SPA通信中使用反CSRF令牌？
据我所知，SPA通信中使用了反CSRF，具体如下；
浏览器向API发送登录请求。
API服务器生成一个令牌并将其发送回浏览器。
浏览器存储它，当浏览器发出下一个请求时，与be一起发送令牌。
API可以确保请求来自真正的前端，因为它包含令牌。
我脑海中突然浮现出一个问题--它怎么能阻止CSRF呢？如果令牌存储在cookie中，它将在请求发生时自动发送到API，就像通常的会话cookie一样。即使它存储在其他存储中(比如会话存储或本地存储)，也可以使用JavaScript访
浏览 5提问于2022-09-29得票数 2
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
