Laravel Fetch Metadata - Knowledge of Laravel

Überblick

revolution/laravel-fetch-metadata ist ein Middleware-Paket, das die vom Browser gesendeten Sec-Fetch-*-HTTP-Header überprüft. Sie können damit anhand von Ursprung, Modus, Ziel und ob die Anfrage durch eine Nutzeraktion ausgelöst wurde, steuern, welche Requests zugelassen werden. Indem Sie die im Browser eingebauten Sicherheitsfunktionen nutzen, verhindern Sie bösartige Requests von unerlaubten Ursprüngen, ohne die Nutzererfahrung legitimer Anwender zu beeinträchtigen.

In Laravel 13 wird für die Origin-Prüfung des CSRF-Schutzes nun der Header Sec-Fetch-Site verwendet. Details siehe CSRF-Schutz.

Ausführliche Informationen zur Spezifikation von Fetch Metadata finden Sie in der MDN-Dokumentation.

Installation

composer require revolution/laravel-fetch-metadata

Middleware-Alias registrieren

Registrieren Sie in bootstrap/app.php die Aliase der Middleware.

use Illuminate\Foundation\Configuration\Middleware;
use Revolution\FetchMetadata\Middleware\SecFetchSite;
use Revolution\FetchMetadata\Middleware\SecFetchMode;
use Revolution\FetchMetadata\Middleware\SecFetchDest;
use Revolution\FetchMetadata\Middleware\SecFetchUser;

->withMiddleware(function (Middleware $middleware) {
    $middleware->alias([
        'sec-fetch-site' => SecFetchSite::class,
        'sec-fetch-mode' => SecFetchMode::class,
        'sec-fetch-dest' => SecFetchDest::class,
        'sec-fetch-user' => SecFetchUser::class,
    ]);
})

Sie können auch nur einige Middlewares verwenden. Die Alias-Namen können Sie beliebig anpassen.

Erläuterung der Middlewares

SecFetchSite

Der Header Sec-Fetch-Site gibt die Beziehung zwischen Herkunft der Anfrage und Ziel-Origin an. Standardmäßig werden nur same-origin und none (direkter Zugriff) erlaubt.

Wert	Beschreibung
`same-origin`	Request vom selben Origin
`same-site`	Request von derselben Site (z. B. Subdomains)
`cross-site`	Request von einer anderen Site
`none`	Navigationsbezogene Requests, z. B. wenn der Nutzer die URL direkt eingibt

Details siehe MDN-Dokumentation.

SecFetchMode

Der Header Sec-Fetch-Mode gibt den Modus der Anfrage an. Standardmäßig werden navigate und cors erlaubt.

Wert	Beschreibung
`navigate`	Navigations-Requests, z. B. Klick auf Links oder Formularabsenden
`cors`	CORS-Request
`no-cors`	no-cors-Request
`same-origin`	Same-origin-Request
`websocket`	Anfrage zur WebSocket-Verbindung

Details siehe MDN-Dokumentation.

SecFetchDest

Der Header Sec-Fetch-Dest gibt den Ressourcentyp des Anfrageziels an. Details siehe MDN-Dokumentation.

SecFetchUser

Der Header Sec-Fetch-User gibt an, ob die Anfrage durch eine Nutzeraktion ausgelöst wurde. Der einzige Wert ist ?1 (Nutzeraktion vorhanden).

Wenn Sie die SecFetchUser-Middleware einsetzen, werden auch Suchmaschinen-Crawler und AI-Agents blockiert. Setzen Sie sie nicht auf öffentlichen Seiten ein, die indexiert werden sollen.

Anwendungsbeispiele im Routing

Grundlegende Verwendung

use Illuminate\Support\Facades\Route;
use Illuminate\Http\Request;

Route::post('user/update-password', function (Request $request) {
    //
})->middleware('sec-fetch-site');

Erlaubte Werte per Parameter festlegen

Route::post('user/update-password', function (Request $request) {
    //
})->middleware('sec-fetch-site:cross-site');

Mehrere Parameter angeben

Route::post('user/update-password', function (Request $request) {
    //
})->middleware('sec-fetch-site:same-origin,cross-site');

Ohne Alias

use Revolution\FetchMetadata\Middleware\SecFetchSite;

Route::post('user/update-password', function (Request $request) {
    //
})->middleware(SecFetchSite::class.':same-origin,cross-site');

Mehrere Middlewares kombinieren

Route::post('user/update-profile', function (Request $request) {
    //
})->middleware(['sec-fetch-site:same-origin', 'sec-fetch-mode:navigate']);

Fehlerbehandlung

Wenn der Wert eines Sec-Fetch-*-Headers ungültig ist, wird eine Symfony\Component\HttpKernel\Exception\BadRequestHttpException geworfen. In bootstrap/app.php können Sie die Antwort anpassen.

use Illuminate\Http\Request;
use Symfony\Component\HttpKernel\Exception\BadRequestHttpException;

->withExceptions(function (Exceptions $exceptions) {
    $exceptions->render(function (BadRequestHttpException $e, Request $request) {
        if ($request->expectsJson()) {
            return response()->json([
                'message' => $e->getMessage(),
            ], 400);
        }
    });
})

Zusammenhang mit dem CSRF-Schutz

In Laravel 13 nimmt die Middleware PreventRequestForgery als ersten Schritt des CSRF-Schutzes eine Origin-Prüfung mit dem Header Sec-Fetch-Site vor. Dieses Paket nutzt Fetch-Metadata-Header darüber hinaus feingranular und stärkt die Sicherheit Ihrer Anwendung. Details siehe CSRF-Schutz.

Aktuelle Informationen finden Sie im GitHub-Repository.

​Überblick

​Installation

​Middleware-Alias registrieren

​Erläuterung der Middlewares

​SecFetchSite

​SecFetchMode

​SecFetchDest

​SecFetchUser

​Anwendungsbeispiele im Routing

​Grundlegende Verwendung

​Erlaubte Werte per Parameter festlegen

​Mehrere Parameter angeben

​Ohne Alias

​Mehrere Middlewares kombinieren

​Fehlerbehandlung

​Zusammenhang mit dem CSRF-Schutz

Überblick

Installation

Middleware-Alias registrieren

Erläuterung der Middlewares

SecFetchSite

SecFetchMode

SecFetchDest

SecFetchUser

Anwendungsbeispiele im Routing

Grundlegende Verwendung

Erlaubte Werte per Parameter festlegen

Mehrere Parameter angeben

Ohne Alias

Mehrere Middlewares kombinieren

Fehlerbehandlung

Zusammenhang mit dem CSRF-Schutz