cakephp - 3.6 版本发布请求中的 CSRF token 不匹配

Question

我有两个不同的 cakephp 应用程序。一个是 3.5 版，另一个是 3.6 版。

当我使用和构建 3.5 应用程序时，我没有遇到 CSRF matching in post request. 的问题但是现在当我使用 3.6 时，它给了我 CSRF token 错误。

虽然在两个应用程序的 AppController 中, CSRF 组件被禁用。
//$this->loadComponent('Csrf');
我正在使用这样的简单帖子请求:

$.ajax({
        type: "POST",
        url: "../user/my_action",
        dataType: 'json',
        success: function (data) {
            set_data(data.response);
        }
    });

我错过了什么？还是我做错了一些配置？

Answer 1

最新的 3.6 应用模板现在默认使用 CSRF 中间件，查看你的应用 src/Application.php文件。不幸的是，这种变化没有被正确记录下来，让人们大吃一惊。

理想情况下，您不要禁用它，而是将正确的 CSRF token 与您的 AJAX 请求一起传递，您可以轻松地从 View 模板中的请求对象中获取 token ，例如在布局中使其全局可用:

<script>
var csrfToken = <?= json_encode($this->request->getParam('_csrfToken')) ?>;
// ...
</script>

然后，您可以在 AJAX 请求中轻松使用它:

$.ajax({
    headers: {
        'X-CSRF-Token': csrfToken
    },
    // ...
});

也可以看看

Cookbook > Middleware > Cross Site Request Forgery (CSRF) Middleware

Cookbook > Middleware > CSRF Protection and AJAX Requests