Symfony 2使用不带类的表单时添加CSRF令牌

Question

首先，我对Symfony 2是个十足的傻瓜。这个问题听起来很简单，如果我试着把一些背景放在为什么和如何需要这个问题上，它会开始变得混乱。

本质上，我创建了一个表单，我使用条令等手动处理、验证和插入表单。我在控制器操作中手动创建表单（它是根据从另一个对象检索的值动态构建的）。我想也许有更好的方法可以做到这一点，但由于我对Symfony还不熟悉，而且我已经用了好几天的时间拖网了，所以我找不到任何解决方案来解决我需要做的事情。

因此，我不是简单地针对类/实体等构建表单，所以我需要手动添加CSRF令牌或某种保护。

在正常情况下，您将创建FormType并配置默认选项以具有csrf_保护。然后是一个简单的例子：

{{ form_widget(form._token) }}

csrf令牌就在那里。

在动态构建表单时，我不确定如何为表单手动创建csrf令牌。有没有人有过在没有类的情况下创建表单并添加csrf保护的经验？

你好，保罗·庞德

Answer 1

在（我的）正常情况下，您创建了一个表单，并且没有专门配置CSRF-它会自动发生，您可以使用表单_rest（form）或表单_end（form）来呈现带有CSRF令牌的隐藏输入。我不认为这与没有模型支持的表单有任何不同。

Answer 2

表单类型和令牌之间的连接：

{{ csrf_token("task_item_intention") }}

以及在表格类型中：

class TaskType extends AbstractType
{
// ...

public function setDefaultOptions(OptionsResolverInterface $resolver)
{
    $resolver->setDefaults(array(
        'data_class'      => 'Acme\TaskBundle\Entity\Task',
        'csrf_protection' => true,
        'csrf_field_name' => '_token',
        // a unique key to help generate the secret token
        'intention'       => 'task_item_intention',
    ));
}

// ...
}

Answer 3

我认为您需要的是：

这将呈现一个CSRF令牌。如果您想在不创建表单的情况下保护CSRF，请使用此函数

{{ csrf_token("intention") }}

例如：

<a href="{{ path('remove_stuff', {token: csrf_token('intention')}) }}">Remove</a>

来源

要从控制器验证此令牌，可以执行以下操作：

if ($this->get('token') !== $this->get('security.csrf.token_manager')->getToken('intention')->getValue()) {
    throw new \Symfony\Component\Security\Core\Exception\InvalidCsrfTokenException('Invalid CSRF token');
}

要简化，请检查Symfony 2.6或更新版本上的令牌

if ($this->isCsrfTokenValid('intention', $submittedToken)) {
    // ... do something, like deleting an object
}