在登录表单上禁用CSRF令牌

Question

我正在使用Symfony2。0和FOSUserBundle，并希望在我的登录表单上禁用csrf令牌。

我已经禁用了csrf保护全球在我的网站在我的config.yml：

framework:
    csrf_protection:
        enabled:        false

这工作得很好，没有csrf字段添加到我的表单中。但是，这不适用于登录表单。仅在此表单上，如果我没有将令牌包含在表单中，则会出现“无效的CSRF令牌”错误：

<input type="hidden" name="_csrf_token" value="{{ csrf_token }}" />

如何在登录表单上禁用CSRF令牌？

Answer 1

如果您正在使用FOSUserBundle，并且您希望仅在登录表单上禁用CSRF保护，则需要执行以下步骤。

步骤1）创建自己的用户包

为了超越内置在FOSUserBundle中的SecurityController，您必须首先创建自己的用户包。

因此，创建一个名为app/src/{YourApp}/UserBundle/Controller/SecurityController的文件。php您应该扩展原始的SecurityController类，并通过loginAction方法进行复制

use FOS\UserBundle\Controller\SecurityController as SecurityControllerOrig;
class SecurityController extends SecurityControllerOrig
{
   public function loginAction(Request $request)
   {
   }
}

在loginAction方法中，注释掉或删除以下行：

$csrfToken = $this->container->has('form.csrf_provider')
        ? $this->container->get('form.csrf_provider')->generateCsrfToken('authenticate')
        : null;

然后确保没有向视图传递CSRF令牌的任何内容：

return $this->renderLogin(array(
        'last_username' => $lastUsername,
        'error'         => $error,
        'csrf_token' => false,
    ));

步骤2）在Symfony的防火墙（security.yml）中禁用CSRF检查

请确保在安全性中注释掉现有的“csrf_提供程序：”行。yml：

firewalls:
        main:
            pattern: ^/
            form_login:
                provider: fos_userbundle
                #csrf_provider: form.csrf_provider

步骤3）覆盖FOSUserBundle的安全控制器（routing.yml）的路由

在路由中。yml，注释掉这些行：

fos_user_security:
    resource: "@FOSUserBundle/Resources/config/routing/security.xml"
    options:
        expose: true

在注释掉的行下面添加这些行：

#Over-ride the SecurityController of the FOSUserBundle:
fos_user_security_login:
  path: /login
  defaults:  { _controller: YourAppUserBundle:Security:login }
  methods:  [GET]
  options:
    expose: true

fos_user_security_check:
  path: /login_check
  defaults:  { _controller: FOSUserBundle:Security:check }
  methods:  [POST]
  options:
    expose: true

fos_user_security_logout:
  path: /logout
  defaults:  { _controller: FOSUserBundle:Security:logout }
  methods:  [GET]
  options:
    expose: true

注1：我只要求它使用自定义SecurityController中的loginAction方法。其他两个方法转到父类（不确定是否有区别）。

注2：你需要“揭露：真实”部分！否则，您将从fos js路由包中获得一个JavaScript错误。

那应该可以了！

Answer 2

如果你去你的保安处。yml文件，并从form_login指令中删除csrf_提供程序，无需更新action类或任何内容。

Answer 3

您可以通过设置“CSRF\u保护”在窗体类中禁用CSRF保护=

class LoginType extends AbstractType
{
    // ...

    public function getDefaultOptions(array $options)
    {
        return array(
            'data_class'      => 'Acme\UserBundle\Entity\User',
            'csrf_protection' => false
        );
    }

    // ...

} 

如果使用FormBuilder而不是AbstractType类来创建表单，则可以将选项数组作为createFormBuilder（）的第二个参数传递，如下所示：

$form = $this->createFormBuilder($users, array('csrf_protection' => false))
        ->add( ... )
        ->getForm();