laravel 11.x 默认启用完整 csrf 防护，无固有漏洞；需确保 verifycsrftoken 中间件启用、表单含 @csrf、ajax 携带 x-csrf-token 头，并谨慎排除例外路由。

Laravel 11.x 默认已启用完整的 CSRF 防护机制，**不存在“漏洞”，只有配置或使用不当导致的防护失效**。所谓“修复 CSRF 漏洞”，实质是确保 Laravel 内置的 CSRF 保护被正确启用、传递和验证。以下直击关键点，分场景说明怎么做：

确认 VerifyCsrfToken 中间件已启用

Laravel 11.x 的 web 路由组默认应用 App\Http\Middleware\VerifyCsrfToken::class，无需额外开启。但需检查：

• 打开 app/Http/Kernel.php，确认 $middlewareGroups['web'] 中包含该中间件（未被注释或移除）
• 确保你的表单或请求走的是 web 中间件组（即定义在 routes/web.php 中），而非 api 路由（api 组默认不启用 CSRF）

所有 POST/PUT/PATCH/DELETE 表单必须含 @csrf

Blade 模板中，任何非 GET 表单都必须插入 @csrf 指令——它会自动渲染一个带有效令牌的隐藏字段：

@csrf 保存

不要手写 <input name="_token"> 或用 csrf_field() 替代 @csrf，二者等价，但 @csrf 更规范、不易遗漏。

laravel-specialist

精通 Laravel 10+，遵循现代 PHP 实践的 Laravel 专家。擅长优雅语法、Eloquent ORM、队列系统及企业级特性...

下载

AJAX 请求必须携带最新 X-CSRF-TOKEN 头

前端 JS（如 Axios、Fetch）发送非 GET 请求时，需从页面 meta 标签读取并设置请求头：

• 在模板 中添加：
  <meta name="csrf-token" content="{{ csrf_token() }}">
• Axios 全局配置示例：
  axios.defaults.headers.common['X-CSRF-TOKEN'] = document.querySelector('meta[name="csrf-token"]').getAttribute('content');
• 若使用 Fetch，手动添加：
  headers: { 'X-CSRF-TOKEN': tokenValue }
• 注意：令牌绑定会话，页面长期未刷新可能导致过期；可配合 Laravel 的 session lifetime 设置，或对敏感操作要求用户重新认证

排除例外路由要谨慎，禁用 CSRF 是高危操作

仅当明确需要（如接收第三方 webhook）才跳过验证，且必须补充其他安全措施：

• 在 app/Http/Middleware/VerifyCsrfToken.php 的 $except 数组中添加路径，例如：
  protected $except = ['webhook/stripe', 'api/notify'];
• 但禁止写 $except = ['*'] 或全局注释掉中间件——这等于关闭防护大门
• 被排除的路由必须自行实现签名验证、IP 白名单、专用密钥校验等替代方案

不复杂但容易忽略