如果 jwt 令牌在 laravel 和 Vue spa 中使用 httponly 存储在 cookie 中，如何防止 csrf 攻击？

【问题标题】：How to prevent csrf attack if jwt token stored in cookie with httponly in laravel and Vue spa?如果 jwt 令牌在 laravel 和 Vue spa 中使用 httponly 存储在 cookie 中，如何防止 csrf 攻击？
【发布时间】：2019-08-22 16:02:23
【问题描述】：

前端：Vue spa

后端：laravel

前后端分离，通过xhr请求通信。

一开始我使用本地存储来存储 JWT 令牌，但现在发现不是很安全。

感谢您的回复。

【问题讨论】：

Hexor 这里有同样的问题，有什么更新吗？
我也在寻找解决方案。

标签： laravel authentication vue.js jwt csrf

【解决方案1】：

在你的 html 头部添加 csrf_token 作为元标记

<meta id="token" name="token" content="{{ csrf_token() }}">

然后在您的 Vue.js 主文件中将此令牌添加到您的 Vue 实例。

Vue.http.headers.common['X-CSRF-TOKEN'] = document.querySelector('#token').getAttribute('content');

【讨论】：

谢谢。但是我的前端页面和后端是分开的，都是静态页面。所以我不能使用 csrf_token() 因为它是由 php 运行的。