Laravel 5 AngularJS上的CSRF令牌

Question

有一个现有项目建立在Laravel 5.2.5和angularjs 1.7.4的基础上。这些页面不是由laravel生成的html页面，只是API。本项目应使用CSRF保护。

Angular文档说，$http服务将自动设置X-XSRF-TOKEN头。

执行XHR请求时，$http服务从cookie中读取令牌（默认情况下为XSRF-token），并将其设置为http头（默认情况下为X-XSRF-token）。

我发现Laravel 5.2文档说它也会检查X-XSRF-TOKEN标头。

Laravel还将CSRF令牌存储在XSRF-TOKEN cookie中。您可以使用cookie值来设置X-XSRF-TOKEN请求标头。一些JavaScript框架，如Angular，会自动为您执行此操作。您不太可能需要手动使用此值。

但我得到的是来自Laravel的TokenMismatchException错误。

我必须使用一些额外的设置来实现CSRF保护吗？

Answer 1

尝试将_令牌字段添加到$http服务的主体中。例子：

// blade template layout without jquery:
<meta name="csrf-token" content="{{ csrf_token() }}">
...
<script>
     window._token = document.querySelector("[name=csrf-token]").getAttribute("content");
</script>

// service.js
$http.post('/api/v1/user/create', {
    _token: window._token,
    fullname: 'foo',
    ...
});