شرح صفوف ومحتوى الفقرة
يحدث هجوم تزوير الطلبات عبر المواقع CSRF عندما يخدع موقع خارجي خبيث متصفح المستخدم لإرسال طلب تعديل أو حذف غير مصرح به إلى تطبيقك. يحبط إطار Laravel هذا الهجوم تلقائياً عبر توليد رمز سري فريد في جلسة المستخدم والتحقق من تطابقه مع كل طلب يغير البيانات.
- آلية استغلال الكوكيز (CSRF Attack): ترسل المتصفحات كوكيز الجلسة تلقائياً، مما يسمح للمواقع الخبيثة بتمرير طلبات مخادعة لولا وجود الرمز السري.
- الرمز السري للجلسة (Session Token): ينشئ Laravel رمزاً مشفراً خاصاً بجلسة المستخدم لا يمكن لأي موقع خارجي قراءته.
- الفحص التلقائي بالخادم (ValidateCsrfToken): تفحص البرمجية الوسيطة المدمجة جميع طلبات التعديل والحذف الواردة لمسارات الويب.
PHP
<?php
// Read the active session's CSRF token in PHP:
$token = csrf_token();
// Or via the incoming Request instance:
$token = $request->session()->token();