はじめに
Laravel のルーティングファイルについて、何気なく触っていたので備忘録として残します。
※Laravel8 を使用
対象者
この記事は下記のような人を対象にしています。
- 駆け出しエンジニア
- プログラミング初学者
ルーティングファイルの種類
- web.php
- api.php
違いについて
web.php
デフォルトでCSRF保護の機能が有効になっているため、外部から POST することができない。
api.php
CSRF保護が有効になっていないため外部から POST ができる。
詳細
kernel.php に web.php と api.php のそれぞれの設定がミドルウェアとして組み込まれています。
デフォルトでは下記の通りの設定となっており、api.php にはVerifyCsrfTokenが入っていないため CSRF保護が機能しておりません。
kernel.php
protected $middlewareGroups = [
'web' => [
\App\Http\Middleware\EncryptCookies::class,
\Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
\Illuminate\Session\Middleware\StartSession::class,
\Illuminate\Session\Middleware\AuthenticateSession::class,
\Illuminate\View\Middleware\ShareErrorsFromSession::class,
/* CSRF保護 */
\App\Http\Middleware\VerifyCsrfToken::class,
\Illuminate\Routing\Middleware\SubstituteBindings::class,
],
'api' => [
'throttle:api',
\Illuminate\Routing\Middleware\SubstituteBindings::class,
],
検証
実際にどのような動きになるのか curlコマンドを使用して検証してみます。
web.php の場合
事前準備としてエンドポイントを設定します。
- ルーティング
web.php
Route::post('/test', [TestController::class, 'test']);
- コントローラーはリクエストをそのまま返却する処理とします
TestController.php
<?php
namespace App\Http\Controllers;
use Illuminate\Http\Request;
class TestController extends Controller
{
function test(Request $request)
{
return $request;
}
}
curl -X POST -H "Content-Type: application/json" -d '{"name":"太郎"}' http://localhost:8000/test
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title>Page Expired</title>
CSRF保護の機能が有効になっているため、「Page Expired」が表示されています。
api.php の場合
上記と同様に事前準備としてエンドポイントを設定します。
- ルーティング
web.php
Route::post('/test', [TestController::class, 'test']);
- コントローラー
TestController.php
<?php
namespace App\Http\Controllers;
use Illuminate\Http\Request;
class TestController extends Controller
{
function test(Request $request)
{
return $request;
}
}
curl -X POST -H "Content-Type: application/json" -d '{"name":"太郎"}' http://localhost:8000/api/test
POST /api/test HTTP/1.1
Accept: */*
Content-Length: 17
Content-Type: application/json
Host: localhost:8000
User-Agent: curl/7.64.1
{"name":"太郎"}
CSRF保護が有効になっていないため、外部からPOSTでアクセスできます。
おわりに
PHPのルーティングファイルについてまとめました。
CSRF保護のデフォルト設定が異なっており、主な使い分け方としては下記の通りとなります。
- web.php
画面に表示するようなルーティングを設定する場合に使用する - api.php
外部からの HTTP リクエストを受けて値を返却する場合に使用する