要求在所有请求中存在X-CSRF-Token头

Question

Symfony中的默认CSRF预防是基于表单的（如果使用提供的表单生成器，则会自动发生）。然而，对于AJAX请求，手动将CSRF令牌附加到每个HTTP请求，然后手动检查每个请求，这是非常繁琐的。

一个好的方法是将令牌嵌入为HTTP标头，如本问题的注释中建议的那样。jQuery然后可以被配置为在每个请求中包含这个标头，如这里所述。

我的问题是如何在Symfony内最好地处理这个问题？我可以使用Twig在每个页面中包含CSRF令牌，但是如何检查传入的请求，以确保每个请求在标头中包含有效令牌？

我知道如何使用$request访问HTTP头-




Answer 1

我不是100%确定，但我会使用BaseFormType并扩展它。

您的基本表单类型将使用表单事件PRE_SET_数据侦听器，并在请求中查找标头，然后将该标头填充到\u令牌字段中。

//FormType
class BaseFormType extends AbstractType
{
    protected $request;

    public function __construct(Request $request)
    {
        $this->request = $request;
    }

    public function buildForm(FormBuilderInterface $builder, array $options)
    {
        $request = $this->request;
        $builder->addEventListener(FormEvents::PRE_SET_DATA, function(FormEvent $event) use($request){
            $token = $request->headers->get('X-CSRF-Token');
            if($token){
                $form = $event->getForm();
                $form->get('_token')->setData($token);
            }
        }
    }
}

然后，您的所有表单类型都将扩展：

//YourCustomFormType
class YourCustomFormType extends BaseFormType
{

    public function buildForm(FormBuilderInterface $builder, array $options)
    {
        parent::buildForm();
        $form->add('name');
    }
}

然后你的控制器动作

//Controller
public function sayMyNameAction(Request $request)
{
    $name = new Name();
    $form = $this->createForm(new YourCustomFormType($request),$name);
    if($request->isMethod('POST'))
    {
        $form->handleRequest($request);
        if($form->isValid()){
            return new JsonResponse(array('say':$name->getName()));
        }
    }
}

或者类似的东西。