4

Estoy adentrándome en el mundo de laravel y al crear una tabla con artisan en el tutorial, me encontré con @csrf antes de una pregunta en mi formulario, segun Google es una especie de token de seguridad contra ataques csrf los cuales desconozco.

¿Es importante que agregue la etiqueta en cada input dentro de mi formulario así?:

  <div class="form-group">         
      @csrf
      <label for="name">Nombre Registro T3:</label>
      <input type="text" class="form-control" name="Nombre"/>
  </div>
2

2 respuestas 2

8

@csrf es un helper de Blade que muestra el campo para proteger la aplicación de ataques CSRF (sigla en inglés: Cross-Site Request Forgery), cuya traducción en español es «falsificación de petición en sitio cruzados». No voy a entrar en detalles sobre lo que significa CSRF, cómo se realiza el ataque y con qué fin, para eso puedes buscar en Google la sigla.

De forma muy resumida, los ataques CSRF envían solicitudes no autorizadas a través de usuarios que sí están autorizados a hacerlas.

Para contrarrestar estos ataques, Laravel implementa un token para cada usuario con sesión activa, de forma tal que solo dicho usuario pueda hacer solicitudes a su nombre.


En términos de código, lo que hace el helper es lo siguiente:

/**
 * Compile the CSRF statements into valid PHP.
 *
 * @return string
 */
protected function compileCsrf()
{
    return '<?php echo csrf_field(); ?>';
}

Llama a un helper de Laravel, el cuál a su vez hace lo siguiente:

/**
 * Generate a CSRF token form field.
 *
 * @return \Illuminate\Support\HtmlString
 */
function csrf_field()
{
    return new HtmlString('<input type="hidden" name="_token" value="'.csrf_token().'">');
}

Por último, el helper csrf_token() que es llamado en las líneas anteriores, obtiene el token de la sesión de la siguiente forma:

/**
 * Get the CSRF token value.
 *
 * @return string
 *
 * @throws \RuntimeException
 */
function csrf_token()
{
    $session = app('session');

    if (isset($session)) {
        return $session->token();
    }

    throw new RuntimeException('Application session store not set.');
}

Por último, es realmente muy importante, por no decir que es OBLIGATORIO incluir este campo o el helper @csrf en todos los formularios de tu aplicación.

Puedes entonces usar:

@csrf

que es exactamente lo mismo que utilizar:

<input type="hidden" name="_token" value="{{ csrf_token() }}">
2
  • fue una increible explicacion, muchas gracias !! el 6 may. 2019 a las 22:12
  • impecable respuesta
    – ffflabs
    el 12 jul. 2022 a las 17:09
0

@csrf o {{ csrf_field() }} es lo mismo que agregar un <input type="hidden" name="_token" value="(el valor de tu token)">

La sigla CSRF significa Cross Site Request Forgery. Básicamente, la función del token es impedir que un usuario malicioso cree urls falsas a tu página para explotar vulnerabilidades de tu sistema.

Laravel exige que éste token esté presente para todo <form> o ajax que envíe datos a través de una consulta POST.

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.