公司導入 Laravel 分享 - 7. CSRF

用來防止「跨網站請求偽造」攻擊，Laravel 會自己產生一個 _token 的 session，我們可以在表單等地方加入 _token 隱藏欄位，VerifyCsrfToken middleware 會去驗證 token 是否正確。

加入 token 隱藏欄位的方法

{{ csrf_field() }}

會產生如下的 html

<input type="hidden" name="_token" value="<?php echo csrf_token(); ?>">

有時候我們並不希望使用 csrf 保護機制，可以修改 app/Http/Middleware/VerifyCsrfToken.php 裡面的 $except 變數。

protected $except = [
    'stripe/*',
];