Как исправить ошибку Fix 419 Page Expired/CSRF token mismatch
Использование CSRF-токенов добавляет дополнительный уровень безопасности, подтверждая, что запрос исходит от того же приложения, а не от вредоносного источника. Laravel обеспечивает встроенную защиту от CSRF-атак путём генерации и проверки CSRF-токенов. Однако его неправильное использование может привести к ошибке: 419 Page Expired .
Чтобы устранить ошибку 419 Page Expired , необходимо убедиться, что CSRF-токен включён в отправляемую форму, добавив @csrf после между открывающим и закрывающим тегами <form> . При этом в форму будет автоматически добавлено скрытое поле input , содержащее CSRF-токен.
Вот пример того, как будет выглядеть обновлённая форма с использованием @csrf :
В качестве альтернативы вы можете использовать csrf_field() в <form> , которая выглядит следующим образом:
Обратите внимание, что ошибка 419 Page Expired может возникнуть и при наличии токена. Обычно это означает, что пользователь был неактивен в течение определённого времени и срок действия токена истёк. Это можно исправить, просто обновив страницу и отправив форму заново.
В примерах кода выше мы узнали, как применить токен к обычной форме. Читайте дальше, чтобы узнать, как добавить CSRF-токен в запросы Ajax POST с помощью jQuery или Axios. Мы также узнаем, как отключить проверку CSRF-токена для определённого маршрута или всего приложения. Наконец, мы ответим на некоторые часто задаваемые вопросы о том, почему GET-запрос не требует CSRF верификации и почему API вообще не требуют её.
Как исправить 419 (unknown status) с помощью Ajax POST (jQuery)
При отправке формы с помощью AJAX из jQuery вы можете получить ответ об ошибке — 419 (unknown status) .
Используя Laravel/jQuery, вы можете исправить ошибку 419 (unknown status) , добавив вызов csrf_token() в раздел <head> и вызвав $.ajaxSetup , для настройки jQuery на добавление токена в заголовки всех последующих POST-запросов.
Выполните следующие шаги, чтобы применить это исправление к вашему коду:
Добавьте CSRF-токен в раздел <head> :
Добавьте вызов $.ajaxSetup :
Добавьте код jQuery для отправки POST-запроса:
Полный пример (маршрут и вид):
routes/web.php:
/resources/views/form-jquery-ajax.blade.php:
Использование Axios для отправки Ajax POST (нет необходимости устанавливать CSRF-токен)
Axios — это HTTP-клиент для JavaScript. Он значительно упрощает отправку AJAX POST-запросов. Он делает это, устраняя необходимость включать jQuery, устанавливать токен или вызывать функцию настройки. Я рекомендую использовать Axios в любом проекте, который отправляет Ajax-запросы из JavaScript.
По умолчанию Laravel поставляется с Axios и Vite. Для того чтобы использовать Axios, нам просто нужно выполнить следующие команды:
Эти команды установили Axios и создали правильный .js файл в папке /public .
Теперь вы можете включить app.js и использовать Axios в своём коде для отправки POST-запроса, как показано в этом примере:
/resources/views/form-axios-ajax.blade.php:
Как отключить проверку CSRF-токенов в Laravel
Чтобы отключить проверку токена CSRF для всех маршрутов в Laravel, вы можете удалить промежуточное программное обеспечение CSRF, выполнив следующие шаги:
Откройте файл app/Http/Kernel.php в вашем проекте Laravel.
Найдите свойство $middleware в классе Kernel .
Найдите middleware класс VerifyCsrfToken , который обычно указывается как \App\Http\Middleware\VerifyCsrfToken::class .
Удалите или закомментируйте строку, содержащую middleware класс VerifyCsrfToken .
app/Http/Kernel.php:
Сохраните изменения в файле Kernel.php .
Удалив middleware VerifyCsrfToken , проверка маркера CSRF будет отключена для всех маршрутов в вашем приложении Laravel. Однако помните, что этот подход устраняет важную меру безопасности, поэтому используйте его с осторожностью и только в конкретных случаях, когда защита CSRF не требуется.
Как отключить CSRF-токен только для определённого маршрута
Чтобы отключить проверку CSRF-токена для определённого маршрута в Laravel, вы можете исключить маршрут из защиты CSRF, изменив middleware CSRF. Вот как это можно сделать:
Откройте файл app/Http/Middleware/VerifyCsrfToken.php в вашем проекте Laravel.
В классе VerifyCsrfToken найдите свойство except . Это свойство определяет URI, которые должны быть исключены из проверки CSRF-токенов.
Добавьте URI маршрута, который вы хотите исключить из защиты CSRF, в массив except . Например, если вы хотите исключить маршрут /example из проверки CSRF, добавьте следующую строку в массив except :
app/Http/Middleware/VerifyCsrfToken.php:
Если вам нужно исключить несколько маршрутов, вы можете добавить их в массив через запятую.
Сохраните изменения в файле VerifyCsrfToken.php .
Существуют обоснованные случаи использования отключения VerifyCsrfToken для определённых маршрутов. Например, чтобы наше приложение могло получать обратные вызовы от сторонних систем, например, от поставщика платежей. Обычно это используется для обновления статуса заказа до оплаченного.
Добавив конкретный маршрут в массив except в middleware VerifyCsrfToken , Laravel обойдёт проверку CSRF-токена для этого маршрута. Важно отметить, что хотя этот подход может быть полезен в определённых сценариях, отключение CSRF защиты должно выполняться осторожно и только в случае необходимости для обеспечения безопасности вашего приложения.
Почему маршруты API Laravel не используют проверку CSRF-токена
Стоит отметить, что в Laravel middleware для проверки CSRF-токенов намеренно не добавляется автоматически в маршруты API.
Маршруты API Laravel не используют проверку CSRF (Cross-Site Request Forgery) по умолчанию из-за своей stateless природы. API обычно работают в режиме stateless, то есть они не хранят данные сессии и не поддерживают состояние клиента между запросами.
Вместо этого API используют механизмы аутентификации на основе токенов, такие, как JWT (JSON Web Tokens) или OAuth для аутентификации и авторизации запросов. Такая аутентификация на основе токенов обеспечивает безопасный механизм без необходимости использования CSRF-токенов. Однако для традиционных веб-форм защита от CSRF остаётся крайне важной.
Почему к GET-запросам Laravel не применяется проверка CSRF-токена
CSRF-токен требуется в любых запросах POST , PUT , PATCH или DELETE , которые отправляются с веб-сайта. Но почему он не требуется, когда мы отправляем GET-запрос?
GET-запросы обычно используются для получения данных и считаются безопасными, поскольку они не должны изменять данные на стороне сервера. Поскольку CSRF атаки основаны на несанкционированных модификациях, применение CSRF-токенов к GET-запросам не требуется.
Для полноты картины стоит упомянуть, что запросы OPTIONS и HEAD также считаются запросами только для чтения, которые, как и GET-запросы, не требуют проверки CSRF-токена. Как показывает официальный код VerifyCsrfToken Middleware:
VerifyCsrfToken.php:
Заключение
В этой статье рассматривалось, как устранить ошибки 419 Page Expired и CSRF token mismatch в Laravel при использовании обычных форм или Ajax-запросов POST, отправленных с помощью jQuery или Axios.
Кроме того, в статье было показано, как можно отключить проверку CSRF-токена для определённого маршрута и как её можно отключить полностью. Наконец, мы также объяснили, почему маршруты API не используют проверку CSRF-токена по умолчанию и почему GET-запросы в Laravel не проверяют токен CSRF.
How to solve page expired error in laravel for webhooks, ajax, and form
This article will help you to laravel 419 page expired error on your project, 419 pages expired mainly we got when we submit a form or call ajax without CSRF token and this article explains to put CSRF token on your form, and ajax call.
Let’s start today’s topic How to solve page expired error in laravel
Table of content
- Page expired 419 error on Form
- Page expired 419 error on Ajax
- Remove CSRF protection on specific URL
Article based on, How to solve page expired ( 419 ) error in laravel.
Many times we got the “Page Expired” ( Error code 419 ) error in Laravel using callback API (webhooks), ajax, and form.
Condition 1#
If you are getting an error after submitting the form then you need to add the CSRF field in your form.
Condition 2#
If you are getting an error after calling the AJAX then you need to add a header like below.
419 page expired что за ошибка
Отправить запрос в Laravel — Ошибка — 419 Извините, ваша сессия / 419 ваша страница истекла
419 К сожалению, срок вашего сеанса истек. Обновите страницу и попробуйте еще раз.
В версии 5.6 такой проблемы не было.
Перед чтением ниже убедитесь, что у вас есть @csrf или > в вашей форме нравится
Сообщение об ошибке Session Expired или 419 Page Expired в larvel появляется из-за того, что где-то не удается проверить ваш токен csrf, что означает, что App\Http\Middleware\VerifyCsrfToken::class промежуточное ПО уже включено. В форме @csrf уже добавлена директива blade, что тоже должно быть хорошо.
Затем другая область для проверки — это сеанс. csrf Маркер проверка непосредственно связана с вашей сессией, поэтому вы можете проверить , является ли драйвер сеанса работой или нет, например, неправильно настроенного Redis может вызвать проблемы.
Возможно, вы можете попробовать переключить драйвер / программное обеспечение сеанса из .env файла, поддерживаемые драйверы приведены ниже.
Поддерживаемые драйверы сеансов в Laravel 5, Laravel 6 и Laravel 7 (Doc Link)
- file — сеансы хранятся в хранилище / framework / sessions.
- cookie — сеансы хранятся в безопасных зашифрованных файлах cookie.
- database — сеансы хранятся в реляционной базе данных.
- memcached / redis — сеансы хранятся в одном из этих быстрых хранилищ на основе кеша.
- array — сеансы хранятся в массиве PHP и не сохраняются.
Если ваша форма работает после переключения драйвера сеанса, значит, что-то не так с этим конкретным драйвером, попробуйте исправить ошибку оттуда.
Возможные сценарии, подверженные ошибкам
Вероятно, сеансы на основе файлов могут не работать из-за проблем с правами доступа к /storage каталогу (быстрый поиск в Google даст вам решение), также помните, что установка 777 для каталога никогда не является решением.
В случае с драйвером базы данных ваше соединение с БД может быть неправильным, или sessions таблица может не существовать или неправильно настроена (неправильная часть конфигурации была подтверждена как проблема в соответствии с комментарием @Junaid Qadir).
redis/memcached конфигурация неверна или одновременно обрабатывается другим фрагментом кода в системе.
Было бы неплохо выполнить php artisan key:generate и сгенерировать новый ключ приложения, который, в свою очередь, сбрасывает данные сеанса.
Очистить кеш браузера СЛОЖНО , я обнаружил, что хром и firefox виноваты больше, чем я могу вспомнить.
Laravel по-русски
Русское сообщество разработки на PHP-фреймворке Laravel.
- Темы: Активные | Без ответов
Страницы 1
#1 09.07.2019 16:07:58
Ошибка 419 при любых настройках сессии и формы
Всем привет.
Проблема такая
У меня при отправке формы ошибка 419 page expired.
Перелопатив всё, что нашел в гугле, я пробовал делать следующее:
Проставлять права на запись в папке storage (файлы создаются при каждом обновлении страницы новые)
Переключился на хранение в БД (новые строки создаются)
Прописывал в форме так: @csrf
чистил кэши, пересобирал проект после удаления папки "vendor"
Ничего из этого не помогло. Единственным выходом было отрубить эту проверку csrf токена.
Сайт вертится на open server. Laravel 5.8 самая свежая.
Повторюсь, что всё работает, если вырубить проверку токена. МОжет надо что-то с сервером делать?
Код роута:
Что ЭТОГО 419 страница истекла laravel ОШИБКА
Если вы используете приложение, разработанное в laravel, вы можете получить сообщение об ошибке «Срок действия страницы 419 истек».
Что такое 419 Страница просрочена
Давайте сначала обсудим 419 код состояния HTTP, Код состояния 419 Указывает, что аутентификация не удалась для ранее аутентифицированного запроса или истек срок действия ключа / токена аутентификации. Если вы посмотрите на стандартные коды состояния HTTP, вы не найдете его там, вы можете каким-то образом рассматривать его как альтернативу 401, что если код статуса для неавторизованных. Таким образом, это означает, что когда вы получаете ошибку с истекшим сроком действия 419 страниц, это означает, что сервер пытается сообщить вам, что ваша аутентификация для определенного запроса истекла.
Почему вы получаете 419 Page истек в Laravel?
Laravel Framework имеет функцию безопасности, которая помогает вам в защита вашего сайта от CSRF, Если вам интересно, почему вы получаете эту ошибку, прочитайте этот пример, и вы узнаете о базовом механизме защиты от CSRF в Laravel и о причине ошибки.
Допустим, вы зашли на страницу входа в приложение laravel в своем браузере, и вам позвонил друг. Вы были заняты разговором с другом и забыли о входе в приложение, и страница оставалась там довольно долго. Вы вернулись туда, где ушли, вы заполнили форму и Voilá, ошибка 419 страницы истекла, Если вы просматриваете страницу или просматриваете исходный код в браузере и просматриваете форму входа, это скрытое поле ввода с длинной строкой, например, токен CSRF, этот токен отвечает за защиту от CSRF [подробнее о csrf]. Когда вы покинули экран своего компьютера и были заняты разговором с другом, срок действия этого токена истек, и ваш запрос был отклонен с кодом состояния 419 HTTP.
Что может вызвать проблему истечения срока действия страницы 419
- Вы не отправляете токен CSRF с формой и не используете промежуточное ПО verifyCSRF
- Вы тратите слишком много времени на отправку запроса
- вы взломали скрытое поле токена
- Вы правильно настроили параметры сеанса в файле конфигурации сеанса
Как это исправить?
Самый простой способ исправить проблему — перезагрузить страницу. После перезагрузки вы получите новый токен, который означает, что вы готовы к работе.
Проверьте токен csrf в форме, которую вы отправляете. Наконец, убедитесь, что конфигурация для домена и файлов cookie выполнена правильно в файле конфигурации сеанса.
Если вы разрабатываете приложение, вы можете время от времени использовать некоторый Javascript для обновления токена. Вот ссылке как стартер для решения вашей проблемы.
Laravel по-русски
Русское сообщество разработки на PHP-фреймворке Laravel.
- Темы: Активные | Без ответов
Страницы 1
#1 09.07.2019 16:07:58
Ошибка 419 при любых настройках сессии и формы
Всем привет.
Проблема такая
У меня при отправке формы ошибка 419 page expired.
Перелопатив всё, что нашел в гугле, я пробовал делать следующее:
Проставлять права на запись в папке storage (файлы создаются при каждом обновлении страницы новые)
Переключился на хранение в БД (новые строки создаются)
Прописывал в форме так: @csrf
чистил кэши, пересобирал проект после удаления папки "vendor"
Ничего из этого не помогло. Единственным выходом было отрубить эту проверку csrf токена.
Сайт вертится на open server. Laravel 5.8 самая свежая.
Повторюсь, что всё работает, если вырубить проверку токена. МОжет надо что-то с сервером делать?
Код роута: