🙅🏽‍♂️ CSRF Protection

Introduction

La protection contre les attaques CSRF (Cross-Site Request Forgery) est essentielle pour sécuriser vos applications web. Bow Framework fournit des outils simples et efficaces pour prévenir ces attaques en générant et en validant automatiquement des jetons CSRF.

Une attaque CSRF consiste à tromper un utilisateur authentifié pour qu'il exécute une action non autorisée sur une application. Pour prévenir cela, Bow génère un jeton CSRF unique pour chaque session utilisateur active. Ce jeton est utilisé pour valider toutes les requêtes envoyées à l'application.

Protection CSRF

Pour protéger vos formulaires, incluez un champ caché contenant le jeton CSRF :

<form method="POST" action="/upload">
  {{{ csrf_field() }}}
  ...
</form>

Le middleware Bow\Middleware\CsrfMiddleware::class, inclus dans le groupe de middleware Web par défaut, vérifie automatiquement que le jeton fourni correspond à celui stocké dans la session.

Vous pouvez activer ou désactivé la vérification automatique dans le fichier config/app.php, avec la clé auto_csrf, qui prend true ou false.

return [
    ...
    "auto_csrf" => true
    ...
];

Intégration avec JavaScript

Lors de la création d'applications utilisant AJAX ou des bibliothèques JavaScript comme Axios ou jQuery, il est recommandé de configurer votre bibliothèque HTTP pour inclure automatiquement le jeton CSRF dans les en-têtes des requêtes.

Ajoutez le jeton CSRF à une balise META HTML :

<meta name="csrf-token" content="{{ csrf_token() }}">

Ensuite, configurez votre bibliothèque pour inclure cet en-tête dans chaque requête :

Exemple avec jQuery

$.ajaxSetup({
  headers: {
    'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
  }
});

Exemple avec Axios

import axios from 'axios';

axios.defaults.headers.common['X-CSRF-TOKEN'] = document.querySelector('meta[name="csrf-token"]').getAttribute('content');

Gestion des jetons CSRF

Jetons dans les en-têtes HTTP

Outre les champs de formulaire, Bow permet d'utiliser l'en-tête X-CSRF-TOKEN pour valider les requêtes. Cela est particulièrement utile pour les requêtes AJAX.

Jetons dans les cookies

Bow génère également un cookie nommé XSRF-TOKEN contenant le jeton CSRF actuel. Ce cookie peut être utilisé pour configurer automatiquement l'en-tête X-XSRF-TOKEN.

Par exemple, des frameworks comme Angular et Axios utilisent ce cookie pour sécuriser les requêtes sans configuration supplémentaire.

Avec Bow Framework, la mise en œuvre de la protection CSRF devient simple et efficace, vous permettant de vous concentrer sur le développement de fonctionnalités tout en assurant la sécurité de vos utilisateurs.

Il manque quelque chose ?

Si vous rencontrez des problèmes avec la documentation ou si vous avez des suggestions pour améliorer la documentation ou le projet en général, veuillez déposer une issue pour nous, ou envoyer un tweet mentionnant le compte Twitter @bowframework ou sur directement sur le github.