laravel是一款流行的php框架，已经成为了专业开发者和初学者们备受青睐的选择。laravel框架实现了csrf保护，是为了防止跨站请求伪造攻击。然而，在某些情况下，有时候需要去掉csrf保护，本文将带你了解在laravel中去掉csrf保护的方法。
- 什么是CSRF保护
跨站请求伪造，英文缩写为CSRF，是一种常见的Web攻击。攻击者利用受害人在登录状态下的身份，伪造请求，达到恶意操作的目的。为了防止这种攻击，Laravel实现了CSRF保护功能，可以很好的保护Web应用程序。
- Laravel中CSRF保护的实现
Laravel中实现CSRF保护，主要是通过以下三个步骤：
2.1. 生成CSRF token
在HTML表单中添加csrf_field指令，这个指令会自动生成CSRF token，并添加到表单隐藏域中。
2.2. 验证CSRF token
在后端，Laravel会验证请求的CSRF token是否合法。如果不合法，将返回一个错误信息。在Laravel 5.6及以后的版本中，默认添加了CSRF保护中间件，所有Post请求都会进行CSRF验证。如果您的请求没有正确携带CSRF token，将得到下面的错误信息：
TokenMismatchException in VerifyCsrfToken.php line 68:
2.3. 跨站脚本攻击防护
为了防止跨站脚本攻击，您应该遵循"转义输出"的原则，不要直接输出用户提供的数据，而应该对其进行处理后再输出。例如，使用htmlentities或htmlspecialchars函数将HTML特殊字符进行转义。
以上就是Laravel中实现CSRF保护的方法。下面我们将介绍如何去掉这种保护。
- 如何去掉Laravel中的CSRF保护
如果您的Web应用程序中，不需要进行CSRF保护，您也可以去掉Laravel中的CSRF保护。下面我们将介绍两种去掉CSRF保护的方法。
在原版的基础上做了一下修正：增加1st在线支付功能与论坛用户数据结合，vip也可与论坛相关，增加互动性vip会员的全面修正评论没有提交正文的问题特价商品的调用连接问题删掉了2个木马文件去掉了一个后门补了SQL注入补了一个过滤漏洞浮动价不能删除的问题不能够搜索问题收藏时放入购物车时出错点放入购物车弹出2个窗口修正定单不能删除问题VIP出错问题主题添加问题商家注册页导航连接问题添加了导航FLASH源文
3.1. 关闭CSRF保护中间件
默认情况下，Laravel所有的Post请求都会进行CSRF验证。如果您想要去掉这种验证，可以将CSRF保护中间件从Middleware中去掉。具体方法如下：
打开app/Http/Kernel.php文件，在$middlewareGroups数组中，找到web中间件组，将['IlluminateFoundationHttpMiddlewareVerifyCsrfToken']这个中间件从该数组中删除即可。
protected $middlewareGroups = [
'web' => [
AppHttpMiddlewareEncryptCookies::class,
// IlluminateSessionMiddlewareAuthenticateSession::class,
// IlluminateRoutingMiddlewareSubstituteBindings::class,
// IlluminateFoundationHttpMiddlewareVerifyCsrfToken::class,
],
'api' => [
'throttle:60,1',
'auth:api',
],
];此时，所有的Post请求都不会进行CSRF保护验证。虽然可以去掉CSRF保护，但这也代表着一定的安全风险。因此建议只在严格的测试环境下开启。
3.2. 手动忽略CSRF保护
如果在全局范围内关闭CSRF保护中间件，您可以在特定的路由或控制器中手动忽略CSRF保护验证。具体方法如下：
在需要放行的路由或控制器方法中，使用withoutMiddleware方法:
Route::post('route', function () {
//
})->withoutMiddleware([IlluminateFoundationHttpMiddlewareVerifyCsrfToken::class]);这种方法可以在某些特殊情况下使用，但是不建议在所有的路由都采用此方法。
综上所述，Laravel中实现CSRF保护是一个很好的安全措施，在不必要的情况下，不建议去掉CSRF保护。如有需要，可以通过以上方法去掉CSRF保护。当然，在实际项目开发中，请根据实际情况谨慎使用。
