Выход из моего проекта без проверки CSRF токена, но с использованием его посредника.

На чтение 3 мин Опубликовано 09.10.2024

Содержание

Вопрос или проблема
Ответ или решение
Решение проблемы
Заключение

Вопрос или проблема

Я выхожу из текущего проекта laravel, когда запускаю скрипт ниже в своем браузере с

<form action="http://127.0.0.1:8000/logout" method="POST">  -здесь вы можете изменить URL вашего маршрута выхода
    <!-- Удаление CSRF токена из формы -->
    <!-- Это будет имитацией атаки CSRF, отправляя запрос без необходимого токена -->
    <input type="submit" value="Отправить запрос">
</form>

<script>
        document.forms[0].submit();
</script>

Я применил промежуточное ПО и вывел его журнал, но когда я запускаю этот скрипт, ничего не выводится, но мой текущий пользователь выходит из системы. Я также установил same_site=”strict” и cors=[‘мой домен’], но все равно выхожу из системы

Ответ или решение

Ваша проблема заключается в том, что вы пытаетесь выполнить выход из системы (logout) без проверки CSRF-токена, используя форму, которая не содержит этого токена. Laravel использует защиту от CSRF (межсайтовых подделок запросов) для предотвращения несанкционированного выполнения действий от имени пользователя. Когда вы отправляете запрос на выход, Laravel ожидает наличие действительного CSRF-токена в POST-запросе.

Решение проблемы

Понимание механизма CSRF-защиты: Laravel проверяет наличие CSRF-токена для всех POST-запросов. Если токен отсутствует или неверный, Laravel автоматически отклоняет запрос.
Текущий сценарий: Когда вы запускаете приведенный вами скрипт, он отправляет POST-запрос на маршрут /logout, но поскольку CSRF-токен отсутствует, Laravel не обрабатывает запрос должным образом. Однако причина, по которой вы все равно получаете выход из системы, может быть связана с тем, что вы не используете истинный эндпоинт логина.
Проверить настройки среды: Убедитесь, что в config/session.php у вас установлено значение same_site в strict, и также проверьте, правильно ли настроен CORS ('allowed_origins').
Логирование Middleware: Если ваш middleware не регистрирует никаких действий, возможно, middleware не срабатывает из-за отсутствия правильного токена или неправильной конфигурации. Убедитесь, что ваше middleware действительно подключено к маршруту.
Как протестировать:
- Используйте CSRF-токен: Чтобы правильно протестировать выход, используйте следующий код, где добавляется скрытое поле для CSRF-токена:
```
<form action="http://127.0.0.1:8000/logout" method="POST">
  @csrf
  <input type="submit" value="Выйти">
</form>
<script>
  document.forms[0].submit(); // Отправка формы автоматически
</script>
```
Логи и отладка:
- Убедитесь, что ваше middleware настроено правильно:
```
public function handle($request, Closure $next)
{
  \Log::info('Middleware активирован');
  return $next($request);
}
```
- Добавьте отладочные сообщения, чтобы проверить, проходит ли запрос через ваше middleware.
Проверка других методов выхода: Возможно, стоит взглянуть на конфигурацию вашего маршрута для выхода из системы (routes/web.php) и убедиться, что он защищен CSRF-миддлваром.

Заключение

Запрос на выход без CSRF-токена должен быть отклонен, и если пользователь выходит, это может быть связано с неправильной конфигурацией или обходом защиты в вашей системе. Убедитесь, что вся логика соблюдения безопасности правильно настроена, и тестируйте все изменения в тщательно контролируемой среде.