laravel 4: dlaczego Request :: header() nie otrzymuje określonego nagłówka?

Question

Próbuję uzyskać wartość nagłówka z:

Request::header('csrf_token')

chociaż moja Firebug mówi w nagłówkach, że mam csrf_token ustawiony baMDpF0yrfRerkdihFack1Sa9cchUk8qBzm0hK0C. W rzeczywistości, mogę dostać tego csrf_token zamiast z natywnego kodu php:

getallheaders()['csrf_token']

Teraz pytanie jest robię moje prawo XSRF-ochronny? czy może jest to wada w tym kodzie php robiłam, że naprawdę trzeba używać Buggy laravel 4 funkcja

Request::header('csrf_token')

która zwraca nic, ale puste. I po prostu coś przeoczyłem. może w moich konfiguracjach Laravel 4 itp.?

P.S: Używam AngularJS, ale może to nie ma znaczenia, którego klienta używam. Mam ten link jako moim przewodnikiem: How to send csrf_token() inside AngularJS form using Laravel API?

Answer 1

Request::header() rzeczywiście stosowanego do retrieval of headers, ale sprawdź gdzie znacznik jest ustawiany .. token CSRF powinny być placed into the session by Laravel, a następnie można uzyskać poprzez metody Session::token() .

Jeśli spojrzysz na HTML wygenerowany przez wywołania do klasy Form::, zobaczysz ukryty element o nazwie _token, który powinien następnie zostać porównany z tokenem w sesji. Możesz uzyskać do niego dostęp za pomocą Input::get('_token'), tak jak w przypadku każdej innej przychodzącej zmiennej GET lub POST.

... Jednak to wszystko nie powinno być naprawdę konieczne, ponieważ może być łatwo zarządzane przez wstępnie zdefiniowane CSRF filtra w filters.php, tylko add that filter to the desired route or route group a będziesz chroniony, bez konieczności dostać się do szczegółów tego.

Answer 2

Problem polega na tym, że obiekt żądania Symfony jest rozszerzony w frameworku Laravel. Zobacz ten wątek GitHub

https://github.com/laravel/framework/issues/1655#issuecomment-20595277

The rozwiązanie w Twoim przypadku byłoby ustawić nazwę nagłówka HTTP_CSRF_TOKEN lub HTTP_X_CSRF_TOKEN jeśli lubisz poprzedzenie X do nagłówków http niestandardowych.

Answer 3

Myślę, że problem jest taki, że w poniższej odpowiedzi na How to send csrf_token() inside AngularJS form using Laravel, której użyłeś, csrf_token nie jest wysyłany w nagłówku twojego XMLHttpRequest, ale w formie własnej.

Należy następnie odfiltrować go w backendu laravel jako zwykłe pole wejściowe. Poniżej znajduje się przykład pracy:

Route::filter('csrf_json', function() 
{ 
    if (Session::token() != Input::get('csrf_token')) 
    { 
     throw new Illuminate\Session\TokenMismatchException; 
    } 
}); 

UPDATE

Jeśli chcesz użyć nagłówków w kątowe, to raczej coś takiego napisać:

$httpProvider.defaults.headers.common['Authorization'] = TOKEN; 

W celu aplly nowa nagłówek do twoich XMLHttpRequests.To jest łatwo połów nawet z surowego php takich jak:

$aHeaders = getallheaders(); 
if (Session::token() != $aHeaders['authorization']) etc. 

Answer 4

I rozwiązać problem poprzez usunięcie podkreślenia „_” w csrf_token więc byłoby crsftoken zamiast.

Request::header('csrf_token'); // Not working 

Request::header('csrftoken'); // Working! 

Answer 5

Problem

laravel jest usuwanie nagłówków z podkreślenia w nazwie podczas pobierania ich z metodą Request::header(). Ponadto wszystkie nazwy nagłówków są przekształcane na małe litery w metodzie Request::header().

Krótki Rozwiązanie

Na frontend, należy wymienić wszystkie podkreślenia w nazwach nagłówków z myślnikami. csrf_token staje csrf-token

Długi Rozwiązanie

Dodaj token laravel CSRF jako kątowym stała na głównej stronie/układu.

Dodaj token jako domyślny nagłówek dla wszystkich żądań w Angular.

angular.module("myApp").run(function($http, CSRF_TOKEN){ 
    $http.defaults.headers.common["csrf-token"] = CSRF_TOKEN; 
}) 

Czy Twój filtr w laravel csrf sprawdzić na mecz w nagłówkach zamiast wejścia.

/** 
* Check that our session token matches the CSRF request header token. 
* 
* @return json 
*/ 
Route::filter("csrf", function() { 
    if (Session::token() !== Request::header("csrf-token")) { 
     return Response::json(array(
      "error" => array(
       "code" => "403", 
       "message" => "Ah ah ah, you didn't say the magic word.", 
      ), 
     )); 
    } 
}