@csrf
es un helper de Blade que muestra el campo para proteger la aplicación de ataques CSRF (sigla en inglés: Cross-Site Request Forgery), cuya traducción en español es «falsificación de petición en sitio cruzados». No voy a entrar en detalles sobre lo que significa CSRF, cómo se realiza el ataque y con qué fin, para eso puedes buscar en Google la sigla.
De forma muy resumida, los ataques CSRF envían solicitudes no autorizadas a través de usuarios que sí están autorizados a hacerlas.
Para contrarrestar estos ataques, Laravel implementa un token para cada usuario con sesión activa, de forma tal que solo dicho usuario pueda hacer solicitudes a su nombre.
En términos de código, lo que hace el helper es lo siguiente:
/**
* Compile the CSRF statements into valid PHP.
*
* @return string
*/
protected function compileCsrf()
{
return '<?php echo csrf_field(); ?>';
}
Llama a un helper de Laravel, el cuál a su vez hace lo siguiente:
/**
* Generate a CSRF token form field.
*
* @return \Illuminate\Support\HtmlString
*/
function csrf_field()
{
return new HtmlString('<input type="hidden" name="_token" value="'.csrf_token().'">');
}
Por último, el helper csrf_token()
que es llamado en las líneas anteriores, obtiene el token de la sesión de la siguiente forma:
/**
* Get the CSRF token value.
*
* @return string
*
* @throws \RuntimeException
*/
function csrf_token()
{
$session = app('session');
if (isset($session)) {
return $session->token();
}
throw new RuntimeException('Application session store not set.');
}
Por último, es realmente muy importante, por no decir que es OBLIGATORIO incluir este campo o el helper @csrf en todos los formularios de tu aplicación.
Puedes entonces usar:
@csrf
que es exactamente lo mismo que utilizar:
<input type="hidden" name="_token" value="{{ csrf_token() }}">
POST
oPUT
y es una forma de evitar el CSRF o Cross Site Request Forgery