Laravel વેબ સુરક્ષા: ક્રોસ-સાઇટ વિનંતી ફોર્જરી (CSRF) શું છે?

આ Laravel ટ્યુટોરીયલમાં આપણે વેબ સુરક્ષા વિશે વાત કરીએ છીએ અને વેબ એપ્લિકેશનને ક્રોસ-સાઇટ વિનંતી ફોર્જરી અથવા CSRF હુમલાઓથી કેવી રીતે સુરક્ષિત કરવી.

CSRF એ હુમલાખોર દ્વારા કરવામાં આવતી દૂષિત પ્રવૃત્તિ છે, જે વેબ સુરક્ષા માટે હાનિકારક, પ્રમાણિત વપરાશકર્તા વતી ક્રિયાઓ કરે છે. સદનસીબે, લારાવેલ આ પ્રકારની નબળાઈને રોકવા માટેના સાધનો પૂરા પાડે છે.

CSRF શું છે?

CSRF એટેક યુઝર સેશનને હાઇજેક કરે છે. તેઓ વપરાશકર્તાની જાણ વગર છુપાયેલા ફોર્મ ટૅગ્સ અથવા દૂષિત URL (છબીઓ અથવા લિંક્સ) દ્વારા વિનંતી સબમિટ કરવા માટે વપરાશકર્તાને છેતરીને આમ કરે છે.

આ હુમલો વપરાશકર્તા સત્રની સ્થિતિમાં ફેરફાર તરફ દોરી જાય છે, ડેટા લીક થાય છે અને કેટલીકવાર હેકર્સ એપ્લિકેશનમાં અંતિમ-વપરાશકર્તાના ડેટાની હેરફેર કરી શકે છે.

ઉપરની છબી એક દૃશ્ય દર્શાવે છે જ્યાં વેબ સુરક્ષાનો ભંગ થાય છે. પીડિત વ્યક્તિ એક લિંક (પ્રાપ્ત) પર ક્લિક કરીને, વેબસાઇટ સર્વરને વિનંતી મોકલીને વિનંતી મોકલે છે જે હેકર દ્વારા ઇચ્છિત અસરો ઉત્પન્ન કરશે, જે વેબસાઇટ સર્વરને ઍક્સેસ કરવા અને તેની સાથે ચાલાકી કરવા માટે ઉપયોગી માહિતીના કબજામાં આવે છે.

CSRF વિનંતીઓને કેવી રીતે અટકાવવી

સુધારવા માટે સુરક્ષા તમારી એપ્લીકેશનની વેબ, દરેક વપરાશકર્તા સત્રમાં, Laravel સુરક્ષિત ટોકન્સ જનરેટ કરે છે જેનો ઉપયોગ તે ખાતરી કરવા માટે કરે છે કે અધિકૃત વપરાશકર્તા જ એપ્લિકેશનની વિનંતી કરે છે.

કારણ કે આ ટોકન દરેક વખતે વપરાશકર્તા સત્ર પુનઃજનરેટ થાય ત્યારે બદલાય છે, હુમલાખોર તેને ઍક્સેસ કરી શકતો નથી.

જ્યારે પણ સર્વર સાઈડ (બેકએન્ડ) જેવી યુઝર માહિતી બદલવાની વિનંતી હોય POST, PUT, PATCH e DELETE, તમારે નિર્દેશનો સમાવેશ કરવો આવશ્યક છે @csrf વિનંતી ફોર્મમાં blade HTML. આ @csrf તેથી તે એક નિર્દેશ છે Blade એપ્લિકેશન દ્વારા માન્ય છુપાયેલ ટોકન જનરેટ કરવા માટે વપરાય છે.

આ નિર્દેશ Blade Laravel ટેમ્પલેટ એન્જિનમાં વપરાયેલ વાક્યરચના કહેવાય છે બ્લેડ . ફાઇલ બનાવવા માટે blade તમારે તેને નામ આપવું પડશે - અમારા કેસ ફોર્મમાં - પછી બ્લેડના વિસ્તરણ દ્વારા. આનો અર્થ એ છે કે ફાઇલનું નામ હશે form.blade.php.

ફાઇલનો ઉપયોગ થાય છે blade વેબ પૃષ્ઠ પર વપરાશકર્તાઓ માટે દૃશ્યો રેન્ડર કરવા માટે. ત્યાં કેટલાક પૂર્વ નિર્દેશો છેdefiનાઈટ અથવા બ્લેડ શોર્ટહેન્ડ સિન્ટેક્સ તમે ઉપયોગ કરી શકો છો. દાખ્લા તરીકે, @if શરત સંતુષ્ટ છે કે કેમ તે તપાસો, @empty તપાસો કે રેકોર્ડ ખાલી નથી, @auth તપાસો કે શું વપરાશકર્તા પ્રમાણિત છે અને તેથી વધુ.

પરંતુ ચાલો નિર્દેશ પર પાછા જઈએ @csrf. તમે તેનો ઉપયોગ કેવી રીતે કરો છો તે અહીં છે:

<form method="POST" action="{{route('pay')}}">

    @csrf
    
</form>

Laravel ના પહેલાનાં વર્ઝનમાં અલગ સેટઅપ હતું: તે બંને કામ કરે છે અને એક જ વસ્તુ કરે છે.

<form method="POST" action="{{route('pay')}}">
    
    <input type="hidden" name="_token" value="{{ csrf_token() }}" />
    
</form>

જ્યારે CSRF ટોકન સબમિટ કરવામાં આવી રહેલી ફોર્મ વિનંતીમાંથી ખૂટે છે અથવા જો તે અમાન્ય જણાય છે, તો Laravel 419 સ્ટેટસ કોડ સાથે "પૃષ્ઠ એક્સપાયર્ડ" ભૂલ સંદેશ ફેંકે છે.

સીએસઆરએફ ચકાસણી કેવી રીતે અને ક્યાં થાય છે

મિડલવેર VerifyCsrfToken Laravel એપ્લિકેશનની અંદર CSRF ચકાસણીનું સંચાલન કરે છે. આ middleware માં નોંધાયેલ છે Kernel.php અને ડિરેક્ટરીમાં સ્થિત છે app/Http/Middleware. આનો અર્થ એ છે કે ધ middleware તે વેબની અંદર વિનંતીઓ માટે ટ્રિગર થાય છે, API થી સંબંધિત નથી.

protected $middlewareGroups = [
        'web' => [
           .
           .
           .
           .
           .
            \App\Http\Middleware\VerifyCsrfToken::class,
        ],
    ];

VerifyCsrfToken મિડલવેર વર્ગને વિસ્તૃત કરે છે Illuminate\Foundation\Http\Middleware\VerifyCsrfToken, એટલે કે CSRF વેરિફિકેશન છે defiરાત્રે વર્ગની અંદર.

લારેવેલ CSRF વેરિફિકેશનને કેવી રીતે હેન્ડલ કરે છે તે શોધવા માટે ચાલો વધુ ઊંડાણમાં જઈએ.

વર્ગની અંદર, અમારી પાસે કાર્ય છે tokensMatch.

protected function tokensMatch($request)
{
     $token = $this->getTokenFromRequest($request);

     return is_string($request->session()->token()) &&
            is_string($token) &&
            hash_equals($request->session()->token(), $token);
}

કોડમાં નક્કી કરે છે કે શું સત્ર અને ઇનપુટ CSRF ટોકન્સ મેળ ખાય છે.

કાર્ય બે વસ્તુઓ કરે છે:

1. મેળવો $this->getTokenFromRequest છુપાયેલા ફીલ્ડ અથવા વિનંતી હેડર દ્વારા જોડાયેલ ઇનકમિંગ વિનંતીમાંથી ટોકન. ટોકન ડિક્રિપ્ટ થાય છે અને પછી ટોકન વેરીએબલ પર પરત આવે છે.

protected function getTokenFromRequest($request)
{
    $token = $request->input('_token') ?: $request->header('X-CSRF-TOKEN');

    if (! $token && $header = $request->header('X-XSRF-TOKEN')) {
        try {
            $token = CookieValuePrefix::remove($this->encrypter->decrypt($header, static::serialized()));
        } catch (DecryptException $e) {
            $token = '';
            }
    }

    return $token;
}

કોડમાં તે હેડરમાંથી ટોકન મેળવે છે

2. વિનંતી ટોકન અને સત્ર બંનેને સ્ટ્રિંગ પર કાસ્ટ કરો અને પછી ઉપયોગ કરો hash_equals જો બંને શબ્દમાળાઓ સમાન હોય તો સરખામણી કરવા માટે PHP માં બિલ્ટ. આ ઓપરેશનનું પરિણામ હંમેશા આવે છે બૂલ (સાચું) અથવા (ખોટું) .

Ercole Palmeri