CakePHP的2.x和CSRF令牌

Question

IM，問題是我禁用CSRF驗證我的JSON請求是這樣的：

$this->Security->unlockedActions = array('do_json'); 

是否可以刪除unlockedActions碼來自beforefilter並在json請求中集成csrf驗證以及其他非json動作。

在此先感謝。

Answer 1

你很可能需要禁用POST數據驗證，除非您的請求將包含來自已建成與表單輔助形式的數據：

$this->Security->validatePost = false; 

然後你必須包括CSRF令牌您的請求POST數據。生成的令牌可以在請求參數中找到爲_Token.key：

$this->request->param('_Token.key') 
// or 
$this->request->params['_Token']['key'] 

，需要提交的_Token.key也即

{ 
    "_Token": { 
     "key": "keyValue" 
    } 
} 

又見

• Cookbook > Core Libraries > Controllers > Security > Form tampering prevention > SecurityComponent::$validatePost
• Cookbook > Core Libraries > Controllers > Security > CSRF protection > Using CSRF protection