В проекте (Laravel + Angular JS) frontend и backend работают независимо, т.е. Laravel лишь играет роль некого Rest API. Генерация отображений полностью лежит на Angular JS. Как пользоваться CSRF токеном в таком проекте? Есть идея получать его get методом из API, возможно, я ошибаюсь: не представляю, как это отразится на безопасности; в этом случае - как правильно? Возможно, проверку CSRF стоит вообще отключить? Посоветуйте, пожалуйста?
2 ответа
Лучше отказаться от идеи хранения каких бы то ни было данных в сессии или в куках вовсе. Тем более, что REST API рекомендуется делать не имеющим состояния (stateless). Такой API не будет нуждаться в защите CSRF-токеном вовсе.
Вместо этого следует использовать токены безопасности. Такой токен выдается в ответ на запрос входа в систему, хранится на стороне js - и в дальнейшем передается слою API на каждый запрос.
-
Но и в том и другом случае токен должен храниться на стороне сервера, чтобы его было возможно сравнить с тем, что приходит от клиента. В таком случае не понимаю, как это можно сделать без сессий? – AndreyTalanin 15 авг '16 в 22:33
-
1@АндрейТаланин либо храните его в базе - либо используйте цифровую подпись – Pavel Mayorov 16 авг '16 в 4:12
Один из вариантов изменить файл app/Http/Middleware/VerifyCsrfToken.php
//добавить в Routes список url какие CSRF не будет проверять
private $openRoutes = ['feedback', 'main/first', 'main/second'];
public function handle($request, Closure $next)
{
foreach($this->openRoutes as $route) {
if ($request->is($route)) {
return $next($request);
}
}
return parent::handle($request, $next);
}
-
Начиная с 5.1 можно добавить исключения в свойство
$except
. Всё остальное Laravel сделает сам. Laravel::Excluding URIs From CSRF Protection. – xEdelweiss 14 авг '16 в 9:42 -
Спасибо, но значит ли это, что вы согласны, что в этом случае, токен следует получать get запросом? – AndreyTalanin 14 авг '16 в 11:26