0

APIを叩くほう・受け取る方ともにフレームワークはLaravelで、guzzleで外部APIを叩いています。

その際に、送った先のプロジェクトがtokenCheckはオンにしているため、tokenMissMatchExceptionエラーが出ます。(VerifyCsrfTokenミドルウェアによるチェックのため)

下記プログラムのheadersの部分にtokenを入れて飛ばしていますが、エラーは変わりません。

guzzleで外部APIを叩いた際に、tokenチェックを通るようにするためにはどうすればいいでしょうか?

$client = new Client();
// ***送信先***URL
$url = 'https://dev.management.herokuapp.com/hoge/hoge_insert;
// 送信処理
$res = $client->request('post', $url,
        ['headers' => [
            'Content-type' => 'Application/json',
            'Authentication' => csrf_token(),
        ],
        'timeout' => 15000,
        'cache' => false,
        'dataType' => 'json',
             'data' => [
                 'userId' => 1
             ]
        ]);
    $data = json_decode($res->getBody(), true);
    $response = JsonResponse::create($data, 200);
    $response->send();

2 件の回答 2

3

CSRFトークンを送信するヘッダ名が間違っているのもそうですが、別プロジェクトのAPIを呼び出すのであれば、呼び出し側の csrf_token() はAPI側の csrf_token() の値とは異なり、やはりエラーになるのではないでしょうか。

というか・・・CSRF攻撃への対策は不要なのではありませんか?

第三者があらかじめ仕込んでおいたリクエストをログイン済みのセッションで送信させるだけで、そのユーザーとして操作を実行できてしまうのがCSRF攻撃です。ログインを伴わない、あるいは攻撃者が自分でログインできるなら、こんな手を使わずとも自分で攻撃すればよく、この対策は無意味です。また「あらかじめ仕込んでおいたリクエストをログイン済みのセッションで送信させる」ことができない場合も、攻撃できないのですから対策する意味がありません。

正規のAPI呼び出しであることを検証する必要があるなら、IPアドレスで制限したり、リクエストにメッセージ認証コード(MAC)を付けたり、別の方法を取った方がいいように思います。

1
  • おっしゃる通りです。ログインのためのキーがリクエストパラメータに渡すようにしているため、tokenを持って行く意味が特にありませんでした。ありがとうございます。
    – 1010Green
    Commented 2016年10月29日 11:36
1

LaravelのVerifyCsrfTokenクラスの実装を見ると、
tokenをヘッダに設定する場合の名称が「X-CSRF-TOKEN」となっています。
拡張等をしている場合は、何をどう受け取っているか分からないので、
外部APIを解析するか、問い合わせるしかないと思います。

protected function tokensMatch($request)
{
    $sessionToken = $request->session()->token();
    $token = $request->input('_token') ?: $request->header('X-CSRF-TOKEN');
    if (! $token && $header = $request->header('X-XSRF-TOKEN')) {
        $token = $this->encrypter->decrypt($header);
    }
    if (! is_string($sessionToken) || ! is_string($token)) {
        return false;
    }
    return hash_equals($sessionToken, $token);
}

下記を修正してみてください。

'Authentication' => csrf_token(),
↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓↓
'X-CSRF-TOKEN' => csrf_token(),
2
  • ありがとうございます。変更してみましたが、tokenエラーは通りませんでした。$sessionTokenの発行が送った先のプロジェクト($request->session()->token())なので、照合できていないみたいです。調査中です。
    – 1010Green
    Commented 2016年10月27日 4:28
  • 今回はtokenを持たせなくてもセキュリティ上問題ありませんでした、回答ありがとうございました。
    – 1010Green
    Commented 2016年10月29日 11:38

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。