Perché il token CSRF di Laravel 4 non funziona?

Question

In realtà sto giocando con Laravel 4. In questo momento ho implementato la sicurezza del token CSRF sul modulo postale.

Il problema è che, in realtà, questo non funziona nel senso che il token generato nella sessione Session::token() è sempre lo stesso, quindi quando provo a inviare nuovamente un modulo o anche a inviare un modulo da un altro server, la sicurezza check non funziona Session::token() != Input::get('_token') (filters.php)

Chiunque ha già affrontato questo problema?

MODIFICA:
Ok ho trovato la spiegazione di questo. Il token è in realtà diverso per ogni macchina/sessione. Ha più senso ora :) Grazie a tutti per il vostro aiuto

Answer 1

All'interno del modulo è necessario per creare il token in questo modo:

<input type="hidden" name="_token" value="<?php echo csrf_token(); ?>"> 

Dopo che il token verrà inviato con l'ingresso. Così, quando si riceve l'input È necessario controllare il token in questo modo:

Route::post('register', array('before' => 'csrf', function() 
{ 
    return 'You gave a valid CSRF token!'; 
})); 

In questo modo vi posto un filtro prima che il percorso è accessibile che controlla il token CSRF.

ottenuto questo dalla documentazione laravel destra here

Answer 2

quando il modulo viene inviato, dopo l'elaborazione del modulo è necessario modificare la CSRF gettone come Session::put('_token', md5(microtime())); questo proteggerà dalla forma ri-presentazione .. Per ulteriori informazioni è possibile vedere this e this

Answer 3

io uso la funzione built-in regenerateToken questo modo nel mio app/filter.php:

Route::filter('csrf', function() 
{ 
    if (Session::token() != Input::get('_token')) 
    { 
     Session::regenerateToken(); 
     return *Redirect/Exception* 
    } 
    Session::regenerateToken(); 
}); 

Un'altra nota quando si reindirizza con l'input!

Nel laravel 4 il token viene generato quando si utilizza {{Modulo :: aperta (...)}} in questo modo:

public function token() 
{ 
    return $this->hidden('_token', $this->csrfToken); 
} 

Quindi utilizza un input nascosto, che consentirà di definire la sua valore dalla funzione Input :: old se esiste.

Per evitare questo è necessario utilizzare la funzione Input :: eccezione ('_ token') se non volete fare un modulo con un token già superata in questo modo:

return Redirect::route('routename')->withInput(Input::except('_token')); 

Answer 4

Quando si utilizza Blade per creare il form, _token viene automaticamente reso all'interno del modulo

<?php echo Form::open(array('url' => '/', 'files' => true, 'id' => 'shareForm', 'method' => 'post')) ?> 
... 
HTML 
... 
<?php echo Form::close() ?>