php - アクションの Yii CSRF 無効化

Question

異なるコントローラとサブドメインから同じフォームデータを送信します。しかし、あるケースでは、CSRF 検証を無効にする必要があります。

例：

ログインフォーム：

場所 1: メインページ example.com
場所 2: account.example.com/login
場所 3:gate.example.com

また、場所 1 から場所 2 にデータを送信する場合に備えて、検証を無効にする必要があります。

使った$form = $this->beginWidget('CActiveForm',...

どうやってやるの？

csrf cookie はクロスドメインではないと思います!

score 30 · Accepted Answer

CSRF 検証は、コントローラーが呼び出される前であっても、Web ページの読み込みプロセスの早い段階で行われます。CHttpRequest クラスをオーバーライドして、特定のルートを無視するように指示します。

protected/componentsという名前のフォルダーにファイルを作成しHttpRequest.php、次の内容を追加します。

class HttpRequest extends CHttpRequest
{
    public $noCsrfValidationRoutes=array();

    protected function normalizeRequest()
    {
            //attach event handlers for CSRFin the parent
        parent::normalizeRequest();
            //remove the event handler CSRF if this is a route we want skipped
        if($this->enableCsrfValidation)
        {
            $url=Yii::app()->getUrlManager()->parseUrl($this);
            foreach($this->noCsrfValidationRoutes as $route)
            {
                if(strpos($url,$route)===0)
                    Yii::app()->detachEventHandler('onBeginRequest',array($this,'validateCsrfToken'));
            }
        }
    }
}

protected/config次に、構成ファイルを次の情報で編集します。

    // application components
'components'=>array(
    ....

    'request' => array(
        'enableCsrfValidation' => true,
        'class'=>'HttpRequest',
        'noCsrfValidationRoutes'=>array(
            'controllername/actionname',
        ),
    ),
 )

score 8 · Accepted Answer

CSRF を無効にするには、次のコードをコントローラーに追加します。

public function beforeAction($action) {
    $this->enableCsrfValidation = false;
    return parent::beforeAction($action);
}

score 4 · Accepted Answer

名前が示すようにCross-Site-Request-Forgeryであるため、クロスドメインではなく、クロスドメインであってはなりません:)

CSRF はリクエストコンポーネントで有効になっているため、リクエストコンポーネントを取得して再構成するだけです。

Yii::app()->request->enableCsrfValidation = false;

おそらくアクションの最初に、どこに置くべきかよくわかりません。

score 3 · Accepted Answer

コントローラーから CSRF を無効にします。

class MyController extends Controller
{

    public $enableCsrfValidation = false;

参照: https://yii2-cookbook.readthedocs.io/csrf/#disabling-csrf-protection

score 2 · Accepted Answer

csrf を無効にするには、これを main.php に追加します。

return array(
'components'=>array(
    'request'=>array(
        'enableCsrfValidation'=>false,
    ),
),
);

score 1 · Accepted Answer

CSRF を無効にするには、次のコードをコントローラーに追加します。

public function beforeAction($action)
{
    Yii::app()->request->enableCsrfValidation = false;
    return parent::beforeAction($action);
}

score 1 · Accepted Answer

特定のアクションで無効にする別の方法を次に示します

public function beforeAction($action)
{
    Yii::$app->request->enableCsrfValidation = $action->id !== 'index'; //action name to disable CSRF for
    return parent::beforeAction($action);
}

score 0 · Accepted Answer

I did this slightly differently from willem-renzema 's approach.

<?php
class HttpRequest extends CHttpRequest
{
    public $noCsrfValidationRoutes=array();

    public function validateCsrfToken($event) { 
        $url=Yii::app()->getUrlManager()->parseUrl($this);
        foreach($this->noCsrfValidationRoutes as $route)
        {
            if(strpos($url,$route)===0)
                return true;
        }
        return parent::validateCsrfToken($event);
    }
}

Configuring it is the same as with his answer, but his method gave me errors, because it was not always possible to get the url with $url=Yii::app()->getUrlManager()->parseUrl($this); in the normalizeRequest() function.

php - アクションの Yii CSRF 無効化

8 に答える 8

Related

Reference