Symfony：使CSRF令牌可用于所有细枝模板

Question

我的应用程序到处都有AJAX请求，我想用CSRF令牌保护它们。但是，我不希望生成CSRF令牌并将其传递给Twig渲染器以便在JavaScript中使用，而是希望Twig渲染的每个html页面中都可以使用CSRF令牌。

我看到Laravel似乎把它放在一个元标签中，所以我可以很容易地用JavaScript抓取它。但是在Symfony中如何做到这一点呢？如何在每一页中插入此令牌？

或者这不是一个好的做法？

Answer 1

答案是：将其作为twig全局变量插入，然后使用Javascript将其绑定到所有请求。

config.yml

twig:
    ## ...
    globals:
        csrfTokenManager:  '@security.csrf.token_manager'

base.html.twig

<script>
    $.ajaxSetup({
        beforeSend: function(xhr) {
            xhr.setRequestHeader('x-csrf-token', '{{ csrfTokenManager.getToken('ajaxAuth') }}');
    });
</script>

接收控制器

public function receiveAction (Request $request)
{
    $tokenManager = $this->get('security.csrf.token_manager');
    $tokenId = 'ajaxAuth';
    $token = new CsrfToken($tokenId, $request->headers->get('x-csrf-token'));

    if (!$tokenManager->isTokenValid($token)) {
        throw new HttpException(403, 'Go away h4x0r');
    }
}

Answer 2

当然这是一个很好的实践！！

在symfony/twig中有一个内置函数csrf_token（'key'）。

例子：

<a href="{{ path('product_remove', {id: product.id, csrf: csrf_token('product') }) }}" 
   class="btn btn-info">Remove</a>

从控制器中，您只需检查它：

/**
 * @Route("/product/remove/{csrf}/{id}", name="product_remove")
 */
public function removeProductAction($csrf, $id)
{
    if ($csrf !== $this->get('security.csrf.token_manager')->getToken('product')->getValue()) {
        throw new InvalidCsrfTokenException('Invalid CSRF token');
    }

    // delete $id

    // cleans up url
    return $this->redirectToRoute('product_list');
}