Laravel的CSRF-None

在Laravel应用中，默认情况下，CSRF保护是开启的，这对于大多数Web应用来说是非常必要的安全措施。在某些特定场景下，例如API开发或与其他系统集成时，可能需要禁用CSRF保护。介绍如何在Laravel中禁用CSRF保护，并提供多种解决方案。

1. 禁用全局CSRF保护

如果你希望完全禁用Laravel中的CSRF保护，可以通过修改中间件来实现。具体步骤如下：

修改AppHttpKernel.php

打开 app/Http/Kernel.php 文件，找到 $middlewareGroups 数组中的 web 中间件组，删除或注释掉 VerifyCsrfToken 中间件：

php
protected $middlewareGroups = [
    'web' => [
        AppHttpMiddlewareEncryptCookies::class,
        IlluminateCookieMiddlewareAddQueuedCookiesToResponse::class,
        IlluminateSessionMiddlewareStartSession::class,
        // IlluminateViewMiddlewareShareErrorsFromSession::class,
        // AppHttpMiddlewareVerifyCsrfToken::class, // 注释掉这一行
        IlluminateRoutingMiddlewareSubstituteBindings::class,
    ],</p>

<pre><code>'api' => [
    'throttle:api',
    IlluminateRoutingMiddlewareSubstituteBindings::class,
],

];

注意事项

禁用全局CSRF保护可能会带来安全风险，因此请确保你的应用在其他方面有足够的安全措施，例如使用HTTPS和适当的认证机制。

2. 为特定路由禁用CSRF保护

如果你只需要为某些特定路由禁用CSRF保护，可以在 VerifyCsrfToken 中间件中添加这些路由的例外。

修改AppHttpMiddlewareVerifyCsrfToken.php

打开 app/Http/Middleware/VerifyCsrfToken.php 文件，找到 except 属性并添加你需要排除的路由：

php
protected $except = [
'api/*', // 排除所有以api/开头的路由
'specific-route', // 排除特定路由
];


示例

假设你有一个API路由 /api/v1/users，你可以这样配置：

php
protected $except = [
'api/v1/users',
];


3. 使用中间件组

你也可以创建一个新的中间件组，不包含 VerifyCsrfToken 中间件，然后在路由中使用这个中间件组。

创建新的中间件组

在 app/Http/Kernel.php 文件中，添加一个新的中间件组：

php
protected $middlewareGroups = [
    'web' => [
        AppHttpMiddlewareEncryptCookies::class,
        IlluminateCookieMiddlewareAddQueuedCookiesToResponse::class,
        IlluminateSessionMiddlewareStartSession::class,
        IlluminateViewMiddlewareShareErrorsFromSession::class,
        AppHttpMiddlewareVerifyCsrfToken::class,
        IlluminateRoutingMiddlewareSubstituteBindings::class,
    ],</p>

<pre><code>'api' => [
    'throttle:api',
    IlluminateRoutingMiddlewareSubstituteBindings::class,
],

'no-csrf' => [ // 新的中间件组
    AppHttpMiddlewareEncryptCookies::class,
    IlluminateCookieMiddlewareAddQueuedCookiesToResponse::class,
    IlluminateSessionMiddlewareStartSession::class,
    IlluminateRoutingMiddlewareSubstituteBindings::class,
],

];

在路由中使用新的中间件组

在 routes/web.php 或 routes/api.php 文件中，使用新的中间件组：

php
Route::group(['middleware' => 'no-csrf'], function () {
Route::get('/specific-route', [YourController::class, 'yourMethod']);
});


在Laravel中禁用CSRF保护有多种方法，可以根据具体需求选择合适的方式。无论是全局禁用还是为特定路由禁用，都需要谨慎处理，确保应用的安全性。希望对你有所帮助。