PHP Academy · Lezione

Protezione CSRF

Generare e validare token CSRF nei moduli per prevenire richieste contraffatte.

Protezione CSRF è una lezione PHP Academy gratuita su CoddyKit. Questa è la lezione 3 di 4. Puoi leggere la lezione completa qui gratuitamente — poi esercitati direttamente nel browser con un editor di codice integrato e un tutor IA disponibile 24/7. Fa parte del percorso di apprendimento PHP Academy, e i tuoi progressi si sincronizzano tra il web e l'app CoddyKit. Il corso PHP Academy include 4 lezioni in totale.

Che cos'è il CSRF?

Cross-Site Request Forgery (CSRF) induce gli utenti autenticati a inviare azioni indesiderate. Una pagina dannosa invia una richiesta contraffatta al sito utilizzando il cookie di sessione attivo della vittima.

Come funziona il CSRF

Scenario: Alice ha effettuato l'accesso a bank.com. Visita malicious.com, che contiene un modulo nascosto che invia automaticamente una richiesta di trasferimento a bank.com utilizzando il suo cookie di sessione.

Token CSRF

La difesa consiste in un token segreto per sessione incorporato in ogni modulo. Il server convalida il token nelle richieste POST/PUT/PATCH/DELETE; una richiesta contraffatta proveniente da un'altra origine non può leggere il token.

@csrf in Laravel Blade

Aggiunga la direttiva @csrf a ogni modulo HTML che modifica i dati.

<form method="POST" action="/transfer">
    @csrf
    <input name="amount" type="number">
    <button>Transfer</button>
</form>

Middleware CSRF

Il middleware VerifyCsrfToken di Laravel verifica l'intestazione X-CSRF-TOKEN o il campo _token in tutte le richieste non-GET del gruppo di middleware web.

CSRF per AJAX

Per le richieste AJAX, legga il token dal meta tag e lo invii come intestazione.

// In the HTML head:
<meta name="csrf-token" content="{{ csrf_token() }}">

// In JavaScript (Axios):
axios.defaults.headers.common["X-CSRF-TOKEN"] =
    document.querySelector("meta[name=csrf-token]").content;

Esclusione delle route

Le route API (che utilizzano token Sanctum) vengono in genere escluse dalla protezione CSRF perché utilizzano l'autenticazione basata su token anziché sui cookie.

<?php
// In VerifyCsrfToken $except:
protected $except = [
    "api/*",
    "webhooks/*",
];

Attributo SameSite dei cookie

L'impostazione di SameSite=Strict o Lax sul cookie di sessione fornisce un ulteriore livello di difesa dal CSRF nei browser moderni.

Pattern del double submit cookie

Una difesa CSRF alternativa per le API: invii il token sia come cookie sia come intestazione della richiesta. Il server verifica che coincidano; le richieste cross-origin non possono leggere i cookie.

CSRF nel contesto delle API

Le API REST che si autenticano con token Bearer (Sanctum, JWT) non sono vulnerabili al CSRF perché i token sono memorizzati in localStorage (e non vengono inviati automaticamente dal browser).

Test del CSRF

Gli helper di test di Laravel includono automaticamente i token CSRF. Può anche verificare che le richieste POST non protette vengano rifiutate.

<?php
// With token:
$this->post("/transfer", ["_token" => csrf_token(), "amount" => 100]);
// Simulating CSRF attack (no token):
$this->withoutMiddleware(VerifyCsrfToken::class)->post("/transfer", [...]);

Riepilogo

La protezione CSRF richiede un token nascosto in ogni modulo che modifica lo stato. Laravel gestisce automaticamente questo aspetto con @csrf. Per AJAX, aggiunga il token come intestazione HTTP. Le route API che utilizzano token Bearer non sono interessate.

Verifica rapida

Come si aggiunge la protezione CSRF a un modulo Laravel Blade?

Domande Frequenti

La lezione «Protezione CSRF» è gratuita?

Sì — il testo completo di «Protezione CSRF» è gratuito qui sul web. Per esercitarvi in modo interattivo (un editor di codice integrato e un tutor IA 24/7) e sbloccare il resto del corso PHP Academy, passa a CoddyKit PRO. Il corso PHP Academy include 4 lezioni in totale.

Cosa imparerò in «Protezione CSRF»?

Generare e validare token CSRF nei moduli per prevenire richieste contraffatte. Eserciti PHP Academy con codice pratico che esegui direttamente nel browser, e un tutor IA 24/7 risponde alle tue domande mentre lavori sulla lezione.

Ho bisogno di esperienza per iniziare PHP Academy?

Non è richiesta alcuna esperienza precedente. PHP Academy su CoddyKit è strutturato per principianti e studenti avanzati, quindi puoi iniziare da qui o dall'inizio e procedere al tuo ritmo. Questa è la lezione 3 di 4.

Quanto tempo richiede la lezione «Protezione CSRF»?

La maggior parte delle lezioni CoddyKit richiede circa 5–10 minuti. Ogni lezione è breve e interattiva, quindi fai progressi costanti e riprendi esattamente da dove hai lasciato su web e app.

Posso scrivere ed eseguire codice in questa lezione PHP Academy?

Sì. Ogni lezione PHP Academy include un editor di codice integrato, quindi scrivi ed esegui codice reale direttamente nel tuo browser e ricevi feedback istantaneo dall'IA — nessuna configurazione locale necessaria.

Tutte le lezioni di questo corso

← Torna a PHP Academy