在 laravel 5 中处理过期令牌的最佳方法是什么。
我的意思是我有一个页面，它有一些执行 ajax 请求的链接。当页面加载时它们工作正常，但是当我等待某个时间时，我得到一个 TOKEN MISMATCH 错误。
现在，我必须刷新页面才能让它再次工作。但是，我不想刷新页面。我想要一些方法来刷新令牌或其他一些解决方法来修复它。
希望你明白我的意思。
【问题讨论】：
2021 年更新：
你好 Stackoverflow！我们几年前发布的答案似乎引发了一些争议。
总而言之，我们发布的方法确实解决了问题的技术方面。但是，从网络安全的角度来看，这似乎是值得商榷的。
凭借我们有限的专业知识，我们仍然相信我们的解决方案是可行的，但为减少疑问，请务必仔细阅读 cmets 部分以及Ryan 发布的答案，因为他们不这么认为在你做出决定之前。谢谢。
2015 年的原始答案
解决它的方法是每隔一定时间实际获取新令牌，否则您将违背 csrf 令牌的目的：
<html>
<head>
<meta name="csrf_token" content="{{ csrf_token() }}">
</head>
<body>
<script type="text/javascript">
var csrfToken = $('[name="csrf_token"]').attr('content');
setInterval(refreshToken, 3600000); // 1 hour
function refreshToken(){
$.get('refresh-csrf').done(function(data){
csrfToken = data; // the new token
});
}
setInterval(refreshToken, 3600000); // 1 hour
</script>
</body>
</html>
在 laravel 路由中
Route::get('refresh-csrf', function(){
return csrf_token();
});
如果有任何语法错误，我很抱歉，很长时间没有使用 jquery，但我想你明白了
【讨论】：
$.ajaxSetup({ headers: {'X-CSRF-TOKEN': csrfToken} });的人来说，但是，你也应该$("input[name=_token]").val(data);
增加您的会话的lifetime。您可以通过在 laravel 配置中编辑 config/session.php 文件来实现。
/*
|--------------------------------------------------------------------------
| Session Lifetime
|--------------------------------------------------------------------------
|
| Here you may specify the number of minutes that you wish the session
| to be allowed to remain idle before it expires. If you want them
| to immediately expire on the browser closing, set that option.
|
*/
'lifetime' => 120,
【讨论】：
我在这个案例中结合了两件事：
1.延长会话寿命
//In config/session.php replace this:
'lifetime' => 120
//with:
'lifetime' => 360
Laravel 5 默认生命周期为 120（分钟），您可以将其更改为您喜欢的任何值，例如 360（6 小时）
2。捕获异常并显示错误消息
//In app/Exceptions/Handler.php replace this:
public function render($request, Exception $e)
{
if ($e instanceof ModelNotFoundException) {
$e = new NotFoundHttpException($e->getMessage(), $e);
}
return parent::render($request, $e);
}
//with:
public function render($request, Exception $e)
{
if ($e instanceof ModelNotFoundException) {
$e = new NotFoundHttpException($e->getMessage(), $e);
}
if ($e instanceof \Illuminate\Session\TokenMismatchException) {
return redirect('/')->withErrors(['token_error' => 'Sorry, your session seems to have expired. Please try again.']);
}
return parent::render($request, $e);
}
所以基本上你将用户重定向到根目录“/”（你可以将它更改为你想要的任何路径）并显示错误消息，并且在该页面上你必须这样做才能显示错误消息：支持>
@if ($errors->has('token_error'))
{{ $errors->first('token_error') }}
@endif
【讨论】：
我认为最好的选择是取 config/session.php 文件的生命周期配置，然后在 JavaScript 代码中将生命周期值乘以 60 * 1000。使用 laravel 提供的辅助函数 config()，它可能是这样的：
<script type="text/javascript">
var timeout = ({{config('session.lifetime')}} * 60) * 1000;
setTimeout(function() {
//reload on current page
window.location = '';
}, timeout);
</script>
【讨论】：
setTimeout 是terrible when tab is out of focus。
我认为@UX Labs 的回答具有误导性。 然后@jfadich 的评论似乎完全不正确。
对于 2017 年 5 月的 Laravel 5.4，我这样解决了这个问题：
在web.php:
Route::post('keep-token-alive', function() {
return 'Token must have been valid, and the session expiration has been extended.'; //https://stackoverflow.com/q/31449434/470749
});
在你看来的javascript中：
$(document).ready(function () {
setInterval(keepTokenAlive, 1000 * 60 * 15); // every 15 mins
function keepTokenAlive() {
$.ajax({
url: '/keep-token-alive', //https://stackoverflow.com/q/31449434/470749
method: 'post',
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
}).then(function (result) {
console.log(new Date() + ' ' + result + ' ' + $('meta[name="csrf-token"]').attr('content'));
});
}
});
请注意，您必须不在VerifyCsrfToken.php 的排除项中列出'keep-token-alive'。正如@ITDesigns.eu 在评论中所暗示的那样，这条路线重要的是要验证当前存在一个有效的令牌并且它只需要延长其到期时间。
我的 Laravel 网站允许用户观看视频（一小时长），它使用 ajax 每分钟发布他们的进度。
但许多用户加载页面后，直到数小时后才开始播放视频。
我不知道为什么他们会在观看之前将浏览器选项卡打开这么久，但他们确实如此。
然后我的日志中会出现大量的 TokenMismatch 异常（并且会错过它们的进度数据）。
在 session.php 中，我将 'lifetime' 从 120 分钟更改为 360 分钟，但这仍然不够。而且我不想让它超过6小时。所以我需要启用这一页以通过ajax频繁扩展会话。
在web.php:
Route::post('refresh-csrf', function() {//Note: as I mentioned in my answer, I think this approach from @UX Labs does not make sense, but I first wanted to design a test view that used buttons to ping different URLs to understand how tokens work. The "return csrf_token();" does not even seem to get used.
return csrf_token();
});
Route::post('test-csrf', function() {
return 'Token must have been valid.';
});
在你看来的javascript中：
<button id="tryPost">Try posting to db</button>
<button id="getNewToken">Get new token</button>
(function () {
var $ = require("jquery");
$(document).ready(function () {
$('body').prepend('<div>' + new Date() + ' Current token is: ' + $('meta[name="csrf-token"]').attr('content') + '</div>');
$('#getNewToken').click(function () {
$.ajax({
url: '/refresh-csrf',
method: 'post',
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
}).then(function (d) {
$('meta[name="csrf-token"]').attr('content', d);
$('body').prepend('<div>' + new Date() + ' Refreshed token is: ' + $('meta[name="csrf-token"]').attr('content') + '</div>');
});
});
$('#tryPost').click(function () {
$.ajax({
url: '/test-csrf',
method: 'post',
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
}).then(function (d) {
$('body').prepend('<div>' + new Date() + ' Result of test: ' + d + '</div>');
});
});
});
})();
在session.php 中，暂时将'lifetime' 更改为非常短的内容以进行测试。
然后玩。
这就是我如何了解 Laravel 令牌的工作原理以及我们真正需要如何频繁地成功 POST 到受 CSRF 保护的路由以使令牌继续有效。
【讨论】：
XSRF-TOKEN。你可以这样做：setInterval(() => axios.post('/keep-token-alive'), 1000 * 60 * 15);
setInvall 也会进入睡眠状态：stackoverflow.com/a/6347336/2311074
keep-token-alive 设为帖子或 CSRF 保护路由。
这都是我不喜欢的解决方法..（但我承认它们可以工作） 我不知道 Laravel 上存在女巫版本，但有一种方法可以从 CSRF 令牌验证中排除页面：
https://laravel.com/docs/5.5/csrf
只需在 VerifyCsrfToken Middleware 上的 $except 数组上添加一条记录，其中包含您要排除的 uri。 请注意，这只能在特定情况下进行。
这对我来说是最好的解决方案...简单，就像（几乎）Laravel 上的所有东西一样，他们已经考虑过了。 ;)
【讨论】：
一种短而快的方法.... 用于处理 ajax 请求，当令牌过期时：将此脚本添加到主布局或文档的末尾
$(window).load(function(){
$.ajaxSetup({
statusCode: {
419: function(){
location.reload();
}
}
});
});
为了在令牌过期时处理 http 请求，请在此路径中创建 419.blade.php：\resources\views\errors 并将此脚本添加到其中：
<script type="text/javascript">
//reload on current page
window.location = '';
</script>
循环导航令牌通常被认为是一种糟糕的方法，但使用上面提到的 js 计时器也存在问题。当浏览器选项卡不是焦点、最小化或在许多用户的情况下，他们的笔记本电脑/设备处于睡眠/关闭等情况时，js seetTimeout/setInterval 是不可靠的。
更好的方法可能是使用 js 计时器从 cookie 中设置的日期戳重新计算“死亡时间”（或用于挑剔的 GDPR 无 cookie 用户的元标记）。此日期戳将是会话将终止的真实世界（时区）时间，并在每次页面刷新时更新。这样一来，您不在时浏览器/设备在做什么/不做什么都无关紧要，并且对于那些使用“让我登录”等的人来说仍然是准确的。
下一个问题是如何做而不是自动刷新令牌 - 向用户提供一个“重新登录”表单（模式/弹出窗口），如上所述将新令牌添加到页面。
【讨论】：
您可以尝试Caffeine for Laravel package 它设置一个时间间隔，然后像某些答案中建议的那样刷新令牌，它也会自动添加到具有 csrf 令牌的每个表单中
【讨论】：
处理此异常的最佳方法是使用App\Exceptions\Handler.php。
public function render($request, Exception $e) {
if ($e instanceof \Illuminate\Session\TokenMismatchException) {
return Redirect::back()->withErrors(['session' => 'Désolé, votre session semble avoir expiré. Veuillez réessayer.']);
}
return parent::render($request, $e);
}
以及您想在哪里显示此消息（在您所有包含 csrf_token 的页面中），添加此部分：
<div>
@if(count($errors)>0)
@foreach($errors->all() as $error)
<ul>
<li>{{$error}}</li>
</ul>
@endforeach
@endif
</div>
根据docs：
Laravel 自动为每个活跃用户生成一个 CSRF “token” 由应用程序管理的会话。
这意味着，对于任何个人，csrf 代码对于用户访问的任何页面都是相同的。一旦您的会话到期，它就会失效。因此，如果您将生命周期设置为 1 周，CSRF 令牌只会在 1 周后过期。
这可以在config/session.php中这样实现：
/*
|--------------------------------------------------------------------------
| Session Lifetime
|--------------------------------------------------------------------------
|
| Here you may specify the number of minutes that you wish the session
| to be allowed to remain idle before it expires. If you want them
| to immediately expire on the browser closing, set that option.
|
*/
'lifetime' => 60 * 24 * 7, // Set session lifetime to 1 week
'expire_on_close' => true,
为什么我不喜欢以上任何一个答案：
保持会话永远活跃，并在固定时间后重新创建一个新的 CSRF token。如果用户打开了多个水龙头，这是一个问题。每次点击刷新CSRF令牌时，所有其他选项卡都将失效。
这个答案更好，因为它不会改变 CSRF token，所以不会影响多个选项卡。它只是通过在setInterval 的固定时间后进行 js 调用来保持会话活跃。但是，setInterval 在 PC 进入睡眠状态时不起作用。因此，当 PC 进入睡眠状态时，会话可能会过期，这也是一种可能的情况。因此，与其尝试通过 js-calls 保持会话活动，不如增加生命周期。
在会话超时时显示错误是可以的，但如果问题永远不会发生会更好。将生命周期设置为 6h 是不够的，因为标签可能会打开几天。
所有其他答案都建议为有问题的路由禁用 CSRF，但这当然不是选择，因为它会产生很大的安全风险。
【讨论】：
redis。调整答案。
我有一个简单的解决方案：
在/routes/web.php：
$router->get('csrf-token', function() {
return request()->session()->token();
});
这只是返回当前的 csrf 令牌。
因为这只会在必要时返回一个新令牌，所以在打开多个选项卡时没有问题，如 @Adam 所述。
您只需要确保每 X 分钟调用一次上述路由（其中 X 是您的会话生命周期 - 5 分钟），并更新任何 _token 输入。我这样做如下（我在这里使用momentjs和axios）：
handleNewCsrfToken();
// Use visbility API to make sure the token gets updated in time, even when the device went to sleep.
document.addEventListener('visibilitychange', function() {
if (document.visibilityState === 'visible') {
setTimeoutToRefreshCsrfToken();
} else if (document.visibilityState === 'hidden') {
clearTimeout(refreshCsrfTokenTimeout);
}
});
function handleNewCsrfToken() {
updateCsrfTokenTimeoutTarget();
setTimeoutToRefreshCsrfToken();
}
function updateCsrfTokenTimeoutTarget() {
csrfTokenTimeoutTarget = moment().add(2, 'hour').subtract(5, 'minute');
}
function setTimeoutToRefreshCsrfToken() {
refreshCsrfTokenTimeout = setTimeout(refreshCsrfToken, csrfTokenTimeoutTarget.diff());
}
function refreshCsrfToken() {
axios.get('/csrf-token').then(function(response) {
document.getElementsByName('_token').forEach(function(element) {
element.value = response.data;
handleNewCsrfToken();
});
});
}
【讨论】：
return request()->session()->token(); 替换为return csrf_token();，因为助手也是这样做的。
在你的主布局文件中试试这个
@guest
<meta http-equiv="Cache-Control" content="no-cache, no-store, must-revalidate" />
<meta http-equiv="Pragma" content="no-cache" />
<meta http-equiv="Expires" content="0" />
<meta http-equiv="refresh" content="{{config('session.lifetime') * 60}}">
@endguest
【讨论】：