Protecția CSRF și Directiva Blade @csrf în Laravel

Atacurile de tip Cross-Site Request Forgery (CSRF) forțează un utilizator autentificat să trimită cereri malițioase către aplicația ta fără acordul său. Laravel include protecție activată implicit pentru toate rutele din routes/web.php.

Fiecare formular HTML ce transmite cereri POST, PUT, PATCH sau DELETE trebuie să includă directiva @csrf, care generează un câmp ascuns conținând tokenul de sesiune verificat automat de middleware-ul ValidateCsrfToken.

// În fișierul Blade:
<form method="POST" action="/profil/actualizare">
    @csrf
    <input type="text" name="name" value="Ion Popescu">
    <button type="submit">Salvează</button>
</form>

// În Laravel 11, excluderea rutelor de tip Webhook din verificarea CSRF (bootstrap/app.php):
->withMiddleware(function (Middleware $middleware) {
    $middleware->validateCsrfTokens(except: [
        'stripe/*',
        'api/webhook',
    ]);
})