forms - 用于验证表单发布数据的 CakePHP 安全组件 token 不同 -> 黑洞

Question

我在让安全组件验证已发布的表单时遇到问题，并且它一直阻止该操作。查看代码，我发现散列标记不匹配。

在发布的表单中，只有一个字段(在 Security::_validatePost 中)被验证为被锁定。但我在查找 Form->create token 的生成位置以及生成方式时遇到问题。

token 不匹配的典型原因是什么？我应该在哪里检查 cake 如何生成 ['_Token']['fields'] 和 token ？ (使用蛋糕2.3.7)。该表单也使用 ajax 验证。

编辑:当我从 Security::generateToken 转储 $token 值时，它看起来像

Array ( [key] => ddc88faacf41985f41359ff99d9c6f87549611c7 [allowedControllers] => Array ( )

[allowedActions] => Array
    (
    )

[unlockedFields] => Array
    (
    )

[csrfTokens] => Array
    (
        [f8c40609a0a86db23bfa5ea2d258723d3caff55a] => 1375207459
        [084c3363363591c3024c59452899a2f4f60ecf99] => 1375207655
        [0344c686c549927c1e27729ae95d879a4034bdab] => 1375207678
        [dfb940ec034e82b10f7b3cc5677734da6896dfbc] => 1375207762
        [ddc88faacf41985f41359ff99d9c6f87549611c7] => 1375207791
    )

但是，对于创建的表单，发布表单时 Security::_validatePost 中的 token 为

token=6521bb362f8323e8f871814fc5d37a79c93e294e check=e8c40d174a23e8797d906d6e381a9a0acc1425ed

token 从哪里获取

$check = $controller->request->data;
$token = urldecode($check['_Token']['fields']);

检查后来被重新定义为:

$check = Security::hash(serialize($fieldList) . $unlocked . Configure::read('Security.salt'), 'sha1');

然后 $token 和 $check 进行比较，结果为 false，从而导致黑洞。

Answer 1

我发现一个字段没有被添加到已发布表单字段的列表中，因为它是一个未选中的复选框(请参阅下面的编辑)。我想我应该概述一个通用的调试过程来帮助人们解决安全表单验证问题。

为了了解机制，我深入研究了代码，了解如何创建 FormHelper 哈希以及 SecurityComponent 验证如何检查哈希。以下是如何准确了解幕后发生的事情。

检查 FormHelper 的输入。打开 CORE/Cake/View/Helper/FormHelper.php。在 secure() 函数中，在 $files=Security::hash 行周围添加一些 pr 行，以查看 token 是如何构建的:

pr($fields);//hashed into computed token on next line
$fields = Security::hash(serialize($fields) . $unlocked . Configure::read('Security.salt'), 'sha1');
pr($unlocked); //hashed into computed token
pr(Configure::read('Security.salt')); //hashed into computed token
pr($fields); //computed token passed via hidden token field in form

检查表单的处理方式现在检查如何处理提交的表单并与传递的 token 进行比较:打开 CORE/Cake/Controller/Component/SecurityComponent.php。在 _validatePost() 例程末尾插入一些 pr 行:

pr($fieldList); //hashed into computed token
pr($unlocked); //hashed into computed token
pr(Configure::read('Security.salt')); //hashed into computed token
pr($token); //passed token from FormHelper
pr($check); //computed token

希望这可以帮助遇到锁定/解锁或丢失字段问题的其他人快速弄清楚蛋糕内部发生了什么。

编辑:导致问题的字段是 CHECKBOX。当用户未选择该字段时，POST 操作不会提交该字段。缺少字段会导致 SecurityComponent 验证失败。为了避免在复选框上出现这种情况，请将其添加到表单中:

$this->Form->unlockField('checkbox.field.name');