루멘의 쿠키

Question

마지막 버전 (5.2) 이후로 루멘에서 쿠키가 비활성화되었습니다. 저는 현재 JWT 인증을 사용하여 Lumen에서 API를 만들고 있습니다.

CSRF 공격으로부터 애플리케이션을 보호하려면 csrf 쿠키를 설정해야합니다. 그러나 지금 그것을 처리하는 가장 좋은 방법은 무엇입니까?

Answer 1

VerifyCsrfToken 미들웨어가이 commit에서 제거되었습니다. 루멘 5.2 문서에서

:

루멘 5.2가 상태의 API에 초점을 향해 더 결정 변화를 나타냅니다. 당신이 CSRF 토큰의 검증을 필요로하는 경우

그래서, 당신이 메타 태그 나 같은 JWT 페이로드 내부를 저장 구현 가지고 private claim (당신이 : 새로운 주장을 구현하는 here을 즉 필요합니다).

제거 된 경우 충분한 이유가있을 수 있습니다. 여기서 나는 당신이 계속 나아갈 수있는 몇 가지 링크를 허용합니다.

CSRF Token necessary when using Stateless(= Sessionless) Authentication?

Where to store JWT in browser? How to protect against CSRF?

https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage#post-2748616172