0

Buenas, llevo un tiempo utilizando Laravel y me gustaría saber que hace exactamente la linea que se le añade al formulario.

{{ csrf_field() }}
4
  • 3
    Hola jlgf. ¿Has mirado la documentacion al respecto ? Investigar por tu cuenta antes de hacer una pregunta es primordial sobre todo para entender las respuestas que puedan darte. Mira Cómo preguntar para mejorar la calidad de tu pregunta. Un saludo
    – lois6b
    Commented el 14 sept. 2017 a las 8:16
  • 3
    Mira lo que es CSRF Commented el 14 sept. 2017 a las 8:51
  • 1
    Simplemente te crea un input de tipo hiden con el nombre "_token" y el valor del token para protección contra ataques CSRF. Commented el 14 sept. 2017 a las 9:49
  • 3
    Si el OP no hizo la investigacion ayudemos y aclaremos de todas formas, ya que ese es un elemento muy importante dentro de laravel en cuestion de seguridad
    – Shassain
    Commented el 14 sept. 2017 a las 11:58

2 respuestas 2

7

Laravel desde su versión 5.x habilita por defecto el middleware VerifyCsrfToken destinado a la protección contra ataques CSRF.

¿Cómo funciona?

Laravel por defecto genera un token por cada usuario del sistema y este token es el que utiliza el middleware VerifyCsrfToken para verificar que la petición sea legítima.

VerifyCsrfToken analiza todas las peticiones menos 'HEAD', 'GET' y 'OPTIONS'.

¿Qué es CSRF?

La falsificación de petición en sitios cruzados consiste básicamente en que un sitio realiza peticiones en nombre de un usuario sobre nuestro sitio.

Expongamos un ejemplo:

Sí en nuestra web A.com diponemos de un formulario para eliminar registros con la siguiente ruta por ejemplo GET A.com/borrar_registro/1, en otro sitio abierto en el mismo navegador X.com podríamos ejecutar una petición GET A.com/borrar_registro/1 dando como resultado la eliminación del registro 1 en el sitio A.com de forma transparente. La forma de ejecutar esta petición desde X.com es bastante simple, bastaría con incluir una etiqueta img con la ruta a atacar y en caso de peticiones post se podría utilizar ajax.

¿Y no es suficiente para evitar esto un sistema de usuarios?

NO!, un sistema de login solo evitaría el daño si el usuario en cuestión no está logeado o carece de acceso cuando se ejecuta la petición desde el sitio X.com, ya que los navegadores por defecto envían las Cookies de cada dirección en cada petición da igual que la petición se realice desde un sitio externo, la web A.com comprobará si ese usuario esta logeado y actuaría en consecuencia.

¿Cuándo debería utilizar este tipo de protección?

Básicamente en cualquier petición que pueda alterar el estado de la aplicación o de los datos de la misma, por ejemplo eliminar datos, actualizarlos, crearlos...

Recordemos que Laravel para este tipo de acciones espera que se utilicen las cabeceras POST, PUT, DELETE, PATCH

1
  • 1
    Muchas gracias!
    – jlgf
    Commented el 15 sept. 2017 a las 9:09
4

Según el código de dicho helper, este crea una cadena de texto tipo HTML que después podrá imprimir (mostrar) en la vista.

if (! function_exists('csrf_field')) {
    /**
     * Generate a CSRF token form field.
     *
     * @return \Illuminate\Support\HtmlString
     */
    function csrf_field()
    {
        return new HtmlString('<input type="hidden" name="_token" value="'.csrf_token().'">');
    }
}

Dicho helper utiliza otro helper csrf_token() el cuál va a buscar el valor del token en la sesión:

if (! function_exists('csrf_token')) {
    /**
     * Get the CSRF token value.
     *
     * @return string
     *
     * @throws \RuntimeException
     */
    function csrf_token()
    {
        $session = app('session');

        if (isset($session)) {
            return $session->token();
        }

        throw new RuntimeException('Application session store not set.');
    }
}

Yendo un poco más lejos, podemos ver cuando se genera el token, al inicio de cada sesión:

/**
 * Start the session, reading the data from a handler.
 *
 * @return bool
 */
public function start()
{
    $this->loadSession();

    if (! $this->has('_token')) {
        $this->regenerateToken();
    }

    return $this->started = true;
}

y el método que genera el token, en la misma clase de sesión que el método anterior:

/**
 * Regenerate the CSRF token value.
 *
 * @return void
 */
public function regenerateToken()
{
    $this->put('_token', Str::random(40));
}
1
  • 1
    Muchas gracias!
    – jlgf
    Commented el 15 sept. 2017 a las 9:09

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.