CodeIgniter仅在某些页面中使用CSRF保护

Question

我想做的是保护一些敏感表单免受codeigniter但不是所有页面中的CSRF攻击。

要保护从CSRF如果我设置它在config.php它适用于所有的页面.有没有办法做到这一点只有一些页面通过设置在控制器？

$config['csrf_protection'] = TRUE;

Answer 1

为了获得更安全的方法，您应该始终打开CSRF保护，并且只在配置中的数组中免除一些您希望的页面。php文件。

$config['csrf_protection'] = TRUE;

然后设置您希望免除CSRF保护的链接数组：

$csrf_off = array(
    "/api",
    "/api/example",
    "/somelink/something/example"
    );

现在关闭这些阵列链接CSRF保护。

if (isset($_SERVER["REQUEST_URI"])) {
    if (in_array($_SERVER["REQUEST_URI"],$csrf_off)) {
        $config['csrf_protection'] = FALSE;
    }
} 

Answer 2

您可以通过编辑配置来实现这一点。php文件

 $config['csrf_protection'] = FALSE;

步骤1：创建要保护的页面数组

例如，$csrf_pages=array（'login'，'test'）

步骤2：检查是否有对受保护页面的请求，然后将其设置为TRUE；

if (isset($_SERVER["REQUEST_URI"])) {
    foreach ($csrf_pages as $csrf_page){
        if(stripos($_SERVER["REQUEST_URI"],$csrf_page) !== FALSE) {
            $config['csrf_protection'] = TRUE;
            break;
        }
    }

}

步骤3：将其添加到视图中

<input type="hidden" name="<?php echo $this->security->get_csrf_token_name(); ?>" value="<?php echo $this->security->get_csrf_hash();?>" />

或者简单地使用form_open（）函数自动添加隐藏的CSRF令牌字段。

Answer 3

现在CI3有了这个特性，我们可以排除配置中的URIhttp://www.codeigniter.com/userguide3/libraries/security.html?highlight=csrf#cross-site-request-forgery-csrf

$config['csrf_exclude_uris'] = array('api/person/add');


$config['csrf_exclude_uris'] = array(
    'api/record/[0-9]+',
    'api/title/[a-z]+'
);