Laravel 通过自动生成并校验会话绑定的 CSRF 令牌，有效防御跨站请求伪造攻击；正确使用 @csrf 指令、AJAX 请求头配置及中间件机制是保障表单与动态数据（如表格）安全提交的关键。
laravel 通过自动生成并校验会话绑定的 csrf 令牌，有效防御跨站请求伪造攻击；正确使用 `@csrf` 指令、ajax 请求头配置及中间件机制是保障表单与动态数据（如表格）安全提交的关键。
在 Laravel 应用中，CSRF（Cross-Site Request Forgery，跨站请求伪造）保护是开箱即用的安全基石。其核心原理是：为每个用户会话生成唯一、加密、有时效性的随机令牌，并强制所有状态变更请求（POST/PUT/PATCH/DELETE）携带该令牌；服务端通过 VerifyCsrfToken 中间件比对请求中的令牌与当前会话存储的令牌是否一致、未过期且未被重放。若校验失败，Laravel 将直接返回 HTTP 419 状态码（“Page Expired”），拒绝执行后续逻辑。
✅ 正确启用 CSRF 保护的三步实践
1. 视图中必须插入 @csrf 指令（适用于传统表单提交）
无论表单是否包含动态生成的表格数据，只要走 HTML 表单提交（
⚠️ 注意：@csrf 不是可选装饰——它是 Laravel CSRF 校验链的第一环。若缺失，即使后端逻辑完善，请求也会被 VerifyCsrfToken 中间件拦截。
2. AJAX 请求需手动注入 CSRF Token 到请求头
当您使用 jQuery（或 Axios/Fetch）异步提交数据（例如将 tableData 序列化为 JSON 发送），不能依赖 @csrf 渲染的隐藏字段，而应从 标签读取并设置请求头：
<!-- 在 <head> 中统一声明 -->
<meta name="csrf-token" content="{{ csrf_token() }}">
// jQuery 示例：正确发送含 CSRF 的 AJAX 请求
$("#submitForm").on('submit', function (e) {
e.preventDefault();
const tableData = [];
$("#myTable tbody tr").each(function () {
const $row = $(this);
tableData.push({
product_name: $row.find('td:eq(0) input').val(),
measurement: $row.find('td:eq(1) input').val(),
quantity: $row.find('.quantity input').val(),
unit_cost: $row.find('.unit-cost input').val(),
total_cost: $row.find('.total-cost input').val()
});
});
// ✅ 关键：设置 CSRF Token 请求头
$.ajaxSetup({
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
});
$.post('/api/orders', {
form_data: $(this).serialize(), // 或提取具体字段
table_data: tableData
})
.done(response => console.log('Success:', response))
.fail((xhr) => console.error('Error:', xhr.responseJSON));
});
? 常见误区：仅在表单中写 @csrf，但 AJAX 请求未设置 X-CSRF-TOKEN 头 → 导致 419 错误，后端收不到 table_data（因请求根本未通过中间件校验）。
3. 后端接收与验证（控制器示例）
确保路由属于 web 中间件组（默认已启用 VerifyCsrfToken），并在控制器中安全解析：
// app/Http/Controllers/OrderController.php
public function store(Request $request)
{
// ✅ Laravel 自动完成 CSRF 校验（无需手动调用）
$formData = $request->validate([
'customer_name' => 'required|string|max:255',
]);
$tableData = $request->input('table_data', []); // 若为 JSON 字符串，需 json_decode（见下文）
// ⚠️ 若前端用 JSON.stringify(tableData) 发送，则需解码：
// $tableData = json_decode($request->input('table_data'), true) ?? [];
foreach ($tableData as $item) {
OrderItem::create([
'product_name' => $item['product_name'] ?? '',
'quantity' => (int)($item['quantity'] ?? 0),
'unit_cost' => (float)($item['unit_cost'] ?? 0),
]);
}
return response()->json(['message' => 'Submitted successfully']);
}
❗ 为什么您的 tableData 显示为空？关键原因分析
根据您提供的 JS 代码，问题表面是数据未送达，根源极可能是 CSRF 校验失败导致整个请求被拦截：
- 您创建了隐藏表单并 .submit()，但该表单未包含 @csrf 字段（仅靠原始表单的 @csrf 不会自动继承到新表单）；
- 更严重的是：您手动拼接 formData 并追加 table_data 字符串，但遗漏了 _token 字段 —— 即使原始表单有 @csrf，$(this).serializeArray() 默认不包含 _token（除非显式保留）；
- 正确做法：要么在原始表单中用 @csrf + 合理命名的数组字段（如 products[]），让 Laravel 自动解析；要么改用 AJAX 并严格设置 X-CSRF-TOKEN 头。
✅ 最佳实践建议
| 场景 | 推荐方式 | 注意事项 |
|---|---|---|
| 简单静态表单 | 使用 @csrf + 命名规范的 name="items[0][field]" | 避免手写 serializeArray()，直接提交原表单 |
| 动态增删表格 | 使用 AJAX + X-CSRF-TOKEN 头 | 前端用 json_encode()，后端用 json_decode() 或直接接收数组 |
| SPA（Vue/React） | 配合 Laravel Sanctum 或 API Token | 禁用 VerifyCsrfToken 中间件，改用 Session Cookie + SameSite + CSRF Token 双重防护 |
? 提示：可通过 php artisan tinker 快速验证令牌有效性：
session()->token(); // 查看当前会话令牌 csrf_token(); // 查看全局令牌（同 session token）
Laravel 的 CSRF 机制设计精巧且高度自动化，开发者只需坚守「表单必加 @csrf、AJAX 必设 X-CSRF-TOKEN、API 路由勿混用 web 中间件」三条铁律，即可在零侵入业务逻辑的前提下，构建坚实的安全防线。
