Cách đăng xuất khỏi phiên hết hạn trong Laravel 5.x?

Question

Phiên bản mới hơn của Laravel (đúng) sử dụng POST để đăng xuất một phiên. Lý do cho việc này là GET/HEAD chỉ nên được sử dụng cho các hành động thụ động để tuân thủ HTTP.

đăng với một CSRF token cũng bảo vệ độc hại sử dụng/trang web từ đăng nhập bạn ra khỏi các phiên của bạn: https://security.stackexchange.com/questions/62769/must-login-and-logout-action-have-csrf-protection

Tuy nhiên nếu phiên đã hết thời gian, và người dùng nhấp logout (mà gây nên một POST đến tuyến đăng xuất) nhận được lỗi không khớp mã thông báo. Điều đó có ý nghĩa - mã thông báo không khớp, bởi vì phiên đã hết hạn.

Tôi chỉ có thể nắm bắt được TokenMismatchException cụ thể dựa trên các biến yêu cầu, và nếu có, tiếp tục chúng theo cách vui vẻ của chúng (đến đường dẫn chuyển hướng đã đăng xuất, nói "home" hoặc "/"). Như thế này:

public function render($request, Exception $e) 
{ 
    if ($e instanceof TokenMismatchException && $request->getRequestUri() === '/logout') { 
     return redirect('/'); 
    } 

    return parent::render($request, $e); 
} 

Câu hỏi của tôi là: nếu tôi làm các việc trên, là những gì các điểm token ở nơi đầu tiên? Và cách bạn đăng xuất người dùng khi phiên của họ hết hạn trong khi vẫn duy trì kết quả dự định khi sử dụng đăng xuất POST bằng mã thông báo CSRF?

Answer 1

Phần mềm trung gian kiểm tra xác thực sẽ chạy trước phần mềm trung gian kiểm tra tính hợp lệ của mã thông báo CSRF.

Bằng cách đó, khi phiên hết hạn, bạn chưa bao giờ nhận được kiểm tra CSRF ngay từ đầu vì bạn đã kiểm tra hết hạn phiên trong phần mềm trung gian xác thực và thực hiện chuyển hướng đến trang đăng nhập ở đó.

Điều này sẽ không ảnh hưởng đến việc bảo vệ CSRF hợp lệ phiên đăng xuất, vì phiên hợp lệ sẽ thực hiện phiên thông qua phần mềm trung gian xác thực.

Theo mặc định, phần mềm trung gian của Laravel chạy kiểm tra CSRF trước tiên. Tuy nhiên, sẽ dễ dàng sắp xếp lại chúng để hoạt động theo cách khác.