在 laravel 中为特定路由禁用 csrf

Question

我有一个支付系统，数据被提交到第 3 方网站，然后被拉回......

当数据返回时，它会点击特定的 url，比如说 /ok 路由。 $_REQUEST['transaction'].

但是由于 laravel 中间件，我得到了令牌不匹配。没有办法 3rd 方支付 API 可以生成令牌，那么我如何禁用它呢？只适用于这条路线？

还是有更好的选择？

Route::get('/payment/ok',   'TransactionsController@Ok');
Route::get('/payment/fail', 'TransactionsController@Fail');

public function Ok( Request $request )
{
    $transId = $request->get('trans_id');

    if ( isset( $transId ) )
    {

        return $transId;

    }

}

Answer 1

从 5.1 版本开始，Laravel 的 VerifyCsrfToken 中间件允许指定从 CSRF 验证中排除的路由。为了实现这一点，您需要在 App\Http\Middleware\VerifyCsrfToken.php 类中将路由添加到 $except 数组：

<?php namespace App\Http\Middleware;

use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken as BaseVerifier;

class VerifyCsrfToken extends BaseVerifier
{
  protected $except = [
    'payment/*',
  ];
}

请参阅docs 了解更多信息。

Answer 2

@jedrzej.kurylo 描述的技术适用于排除一两页。

如果您需要从 CSRF 验证中排除大量页面，这是一种不同的技术，具有更多的面向未来的能力。

您可以对路线进行分段，并对每条路线应用不同的中间件。因此，您可以将您的付款路线放入单独的路线组中，而不是对其应用 VerifyCsrfToken。方法如下。

1。创建路由文件

您会注意到在您的 routes 目录中，您有以下树：

• routes/
• routes/api.php
• routes/web.php

在此处创建一个新文件routes/payment.php，并将您的路线添加到其中：

<?php
use Illuminate\Support\Facades\Route;

Route::get('/payment/ok',   'TransactionsController@Ok');
Route::get('/payment/fail', 'TransactionsController@Fail');

2。使用 RouteServiceProvider 处理路由

在 Laravel 中，路由由 app\Providers\RouteServiceProvider.php 处理。您会注意到这些函数：map() 和 mapWebRoutes()。相应地添加到此文件中（为简洁起见，我已排除库存 cmets）。

    public function map()
    {
        $this->mapApiRoutes();
        $this->mapWebRoutes();
        $this->mapPaymentRoutes(); // <---- add this line
    }

    protected function mapWebRoutes()
    {
        Route::middleware('web')
             ->namespace($this->namespace)
             ->group(base_path('routes/web.php'));
    }

    protected function mapPaymentRoutes()  // <--- Add this method
    {
        Route::middleware('payment')       // <--- this line is important
             ->namespace($this->namespace)
             ->group(base_path('routes/payment.php'));
    }

请注意，我们添加了一个新的中间件层。这对下一步很重要。

3。添加一个新的中间件层

路由组的中间件在App\Http\Kernel.php 中定义。

更新$middlewareGroups 属性，并为“付款”添加一个中间条目。它可以与web 完全相同，但没有 VerifyCsrfToken 行。

    protected $middlewareGroups = [
        'web' => [
            \App\Http\Middleware\EncryptCookies::class,
            \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
            \Illuminate\Session\Middleware\StartSession::class,
            \Illuminate\Session\Middleware\AuthenticateSession::class,
            \Illuminate\View\Middleware\ShareErrorsFromSession::class,
            \App\Http\Middleware\VerifyCsrfToken::class,
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
            \App\Http\Middleware\NoClickjack::class,
            \App\Http\Middleware\SecureReferrerPolicy::class,
            \App\Http\Middleware\NoXssScripting::class,
        ],

        // ********** Add this *******************
        'payment' => [
            \App\Http\Middleware\EncryptCookies::class,
            \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
            \Illuminate\Session\Middleware\StartSession::class,
            \Illuminate\Session\Middleware\AuthenticateSession::class,
            \Illuminate\View\Middleware\ShareErrorsFromSession::class,

// This is the line you want to comment-out / remove
//            \App\Http\Middleware\VerifyCsrfToken::class,     

            \Illuminate\Routing\Middleware\SubstituteBindings::class,
            \App\Http\Middleware\NoClickjack::class,
            \App\Http\Middleware\SecureReferrerPolicy::class,
            \App\Http\Middleware\NoXssScripting::class,
        ],

        'api' => [
            'throttle:60,1',
            'bindings',
        ],
    ];

?

现在，每当您添加需要从 CSRF 令牌检查中排除的新路由时，请将它们添加到 routes/payment.php 文件中。

Answer 3

从 Laravel 7.7 开始，您可以使用方法 withoutMiddleware 例如：

Route::get('/payment/ok',   'TransactionsController@Ok')
    ->withoutMiddleware([\App\Http\Middleware\VerifyCsrfToken::class]);

Route::get('/payment/fail', 'TransactionsController@Fail')
    ->withoutMiddleware([\App\Http\Middleware\VerifyCsrfToken::class]);