Esse TOKEN gerado existirá no source do HTML gerado você querendo ou não, torna-lo oculto em formulários GET é praticamente desnecessário, o TOKEN é apenas uma chave de comparação com o TOKEN que esta na sessão do lado back-end.
Isso é uma técnica para tentar impedir ataques CSRF, ou seja assim que ele é usado ele "expira" e é gerando um novo token, o antigo não será mais útil.
Tanto que você pode ver que "para facilitar" aplicações Ajax a doc do Laravel indica um exemplo com a tag <meta>
:
No HTML:
<meta name="csrf-token" content="{{ csrf_token() }}">
E para pegar:
document.querySelector('meta[name="csrf-token"]').getAttribute('content');
Ou jQuery para configurar todas chamadas Ajax da página atual:
$.ajaxSetup({
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
}
});
Nesse caso o uso da tag META é devido ao uso de arquivos .js
"estáticos" não conversarem diretamente com o PHP (é assim que funciona o HTTP, não é uma questão de PHP).
Ou seja, mesmo que alguém pegue o TOKEN ele irá expirar quando o form for enviado ou você paginar e mesmo que possa esconder da URL qualquer um que quiser acessar o source da página irá obter o TOKEN.
Devo lhe adiantar que o CSRF Protection
é uma técnica boa, mas não é 100% garantida contra ataques vindo de fora, por este motivo mesmo muita gente opta pelos Captchas como por exemplo:
Que geralmente são um pouco mais garantidos, no entanto as vezes mais complicados para o usuário final.
GET
, ele passa pelaURL
, acho que não é possivel esconder, provavelmente, da paracriptografar
.URL
, para não aparecer naURL
, precisa usar otype
comoPOST
input[type=hidden]
só esconde o campo, e nao evita de mostra-lo naURL