1

tenho seguinte formulário com o método em get, porém ao enviar a requisição ele envia o token pela url. Como posso ocultar o token da ur?

URL: 127.0.0.1:8000/busca?_token=bsL7AC1ymwC1UbtwWSRwz4d6YrirLsAP5Xbkfnqh&busca=or

<form action="{{route('search')}}" method="get">                                    
    <input type="hidden" name="_token" value="{{ csrf_token() }}">
         <div class="input-group">
            <input type="text" class="form-control" name="busca" placeholder="Buscar..." required>
              <span class="input-group-btn">
                 <button class="btn" type="submit"> 
                   <i class="fa fa-search"></i>
                 </button>
               </span>
             </div>

5
  • Mas é GET, ele passa pela URL, acho que não é possivel esconder, provavelmente, da para criptografar. Commented 20/09/2017 às 19:29
  • Então perceba que o campo é do tipo hidden, eu imagino que um campo do tipo hidden não deve aparecer na url. Commented 20/09/2017 às 19:41
  • Na verdade, um campo do tipo hidden é para não aparecer em tela e não ficar oculto na URL, para não aparecer na URL, precisa usar o type como POST Commented 20/09/2017 às 19:44
  • Cara eu já consegui, de acordo com a documentação do laravel o token só é necessário para outros métodos como PUT,POST, DELETE. Commented 20/09/2017 às 19:54
  • Legal que conseguiu, fique como aprendizado, o input[type=hidden] só esconde o campo, e nao evita de mostra-lo na URL Commented 20/09/2017 às 20:00

1 Resposta 1

2

Esse TOKEN gerado existirá no source do HTML gerado você querendo ou não, torna-lo oculto em formulários GET é praticamente desnecessário, o TOKEN é apenas uma chave de comparação com o TOKEN que esta na sessão do lado back-end.

Isso é uma técnica para tentar impedir ataques CSRF, ou seja assim que ele é usado ele "expira" e é gerando um novo token, o antigo não será mais útil.

Tanto que você pode ver que "para facilitar" aplicações Ajax a doc do Laravel indica um exemplo com a tag <meta>:

No HTML:

<meta name="csrf-token" content="{{ csrf_token() }}">

E para pegar:

 document.querySelector('meta[name="csrf-token"]').getAttribute('content');

Ou jQuery para configurar todas chamadas Ajax da página atual:

$.ajaxSetup({
    headers: {
        'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
    }
});

Nesse caso o uso da tag META é devido ao uso de arquivos .js "estáticos" não conversarem diretamente com o PHP (é assim que funciona o HTTP, não é uma questão de PHP).

Ou seja, mesmo que alguém pegue o TOKEN ele irá expirar quando o form for enviado ou você paginar e mesmo que possa esconder da URL qualquer um que quiser acessar o source da página irá obter o TOKEN.

Devo lhe adiantar que o CSRF Protection é uma técnica boa, mas não é 100% garantida contra ataques vindo de fora, por este motivo mesmo muita gente opta pelos Captchas como por exemplo:

  • reCaptcha
  • NuCaptcha

Que geralmente são um pouco mais garantidos, no entanto as vezes mais complicados para o usuário final.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .