Buenas, llevo un tiempo utilizando Laravel y me gustaría saber que hace exactamente la linea que se le añade al formulario.
{{ csrf_field() }}
Buenas, llevo un tiempo utilizando Laravel y me gustaría saber que hace exactamente la linea que se le añade al formulario.
{{ csrf_field() }}
Laravel desde su versión 5.x habilita por defecto el middleware VerifyCsrfToken destinado a la protección contra ataques CSRF.
Laravel por defecto genera un token por cada usuario del sistema y este token es el que utiliza el middleware VerifyCsrfToken para verificar que la petición sea legítima.
VerifyCsrfToken analiza todas las peticiones menos 'HEAD', 'GET' y 'OPTIONS'
.
La falsificación de petición en sitios cruzados consiste básicamente en que un sitio realiza peticiones en nombre de un usuario sobre nuestro sitio.
Expongamos un ejemplo:
Sí en nuestra web A.com diponemos de un formulario para eliminar registros con la siguiente ruta por ejemplo GET A.com/borrar_registro/1, en otro sitio abierto en el mismo navegador X.com podríamos ejecutar una petición GET A.com/borrar_registro/1 dando como resultado la eliminación del registro 1 en el sitio A.com de forma transparente. La forma de ejecutar esta petición desde X.com es bastante simple, bastaría con incluir una etiqueta img con la ruta a atacar y en caso de peticiones post se podría utilizar ajax.
NO!, un sistema de login solo evitaría el daño si el usuario en cuestión no está logeado o carece de acceso cuando se ejecuta la petición desde el sitio X.com, ya que los navegadores por defecto envían las Cookies de cada dirección en cada petición da igual que la petición se realice desde un sitio externo, la web A.com comprobará si ese usuario esta logeado y actuaría en consecuencia.
Básicamente en cualquier petición que pueda alterar el estado de la aplicación o de los datos de la misma, por ejemplo eliminar datos, actualizarlos, crearlos...
Recordemos que Laravel para este tipo de acciones espera que se utilicen las cabeceras POST, PUT, DELETE, PATCH
Según el código de dicho helper, este crea una cadena de texto tipo HTML que después podrá imprimir (mostrar) en la vista.
if (! function_exists('csrf_field')) {
/**
* Generate a CSRF token form field.
*
* @return \Illuminate\Support\HtmlString
*/
function csrf_field()
{
return new HtmlString('<input type="hidden" name="_token" value="'.csrf_token().'">');
}
}
Dicho helper utiliza otro helper csrf_token()
el cuál va a buscar el valor del token en la sesión:
if (! function_exists('csrf_token')) {
/**
* Get the CSRF token value.
*
* @return string
*
* @throws \RuntimeException
*/
function csrf_token()
{
$session = app('session');
if (isset($session)) {
return $session->token();
}
throw new RuntimeException('Application session store not set.');
}
}
Yendo un poco más lejos, podemos ver cuando se genera el token, al inicio de cada sesión:
/**
* Start the session, reading the data from a handler.
*
* @return bool
*/
public function start()
{
$this->loadSession();
if (! $this->has('_token')) {
$this->regenerateToken();
}
return $this->started = true;
}
y el método que genera el token, en la misma clase de sesión que el método anterior:
/**
* Regenerate the CSRF token value.
*
* @return void
*/
public function regenerateToken()
{
$this->put('_token', Str::random(40));
}