2

我在让安全组件验证已发布的表单时遇到问题，并且它一直在阻止该操作。查看代码我发现散列标记不匹配。

在发布的表单中，只有一个字段被验证（在 Security::_validatePost 中）被锁定。但是我在查找 Form->create 令牌的生成位置以及生成方式时遇到问题。

令牌不匹配的典型原因是什么，我应该在哪里检查 cake 是如何生成令牌的 ['_Token']['fields'] 和？（使用蛋糕 2.3.7）。该表单也使用 ajax 验证。

编辑：当我从 Security::generateToken 中转储 $token 值时，它看起来像

数组（[键] => ddc88faacf41985f41359ff99d9c6f87549611c7 [allowedControllers] => 数组（）

[allowedActions] => Array
    (
    )

[unlockedFields] => Array
    (
    )

[csrfTokens] => Array
    (
        [f8c40609a0a86db23bfa5ea2d258723d3caff55a] => 1375207459
        [084c3363363591c3024c59452899a2f4f60ecf99] => 1375207655
        [0344c686c549927c1e27729ae95d879a4034bdab] => 1375207678
        [dfb940ec034e82b10f7b3cc5677734da6896dfbc] => 1375207762
        [ddc88faacf41985f41359ff99d9c6f87549611c7] => 1375207791
    )

但是，对于创建的表单，发布表单时 Security::_validatePost 中的令牌是

令牌=6521bb362f8323e8f871814fc5d37a79c93e294e 检查=e8c40d174a23e8797d906d6e381a9a0acc1425ed

令牌取自哪里

$check = $controller->request->data;
$token = urldecode($check['_Token']['fields']);

并且检查后来被重新定义为：

$check = Security::hash(serialize($fieldList) . $unlocked . Configure::read('Security.salt'), 'sha1');

然后将 $token 和 $check 进行比较，结果为 false，从而导致黑洞。

4

2 回答 2

4

我发现一个字段没有被添加到 POSTED 表单字段的列表中，因为它是一个未选中的 CHECKBOX（请参阅下面的编辑）。我想我会概述一个通用的调试程序来帮助解决安全表单验证问题的人。

为了了解我在代码中挖掘的机制，以查看 FormHelper 哈希是如何创建的，以及 SecurityComponent 验证如何检查哈希。以下是如何准确了解幕后发生的事情。

检查 FormHelper 的输入。 打开 CORE/Cake/View/Helper/FormHelper.php。在 secure() 函数中，在 $files=Security::hash 行周围添加一些 pr 行，以查看令牌是如何构建的：

pr($fields);//hashed into computed token on next line
$fields = Security::hash(serialize($fields) . $unlocked . Configure::read('Security.salt'), 'sha1');
pr($unlocked); //hashed into computed token
pr(Configure::read('Security.salt')); //hashed into computed token
pr($fields); //computed token passed via hidden token field in form

检查表单是如何处理 的 现在检查提交的表单是如何处理的，并与传递的令牌进行比较：打开 CORE/Cake/Controller/Component/SecurityComponent.php。在最后的 _validatePost() 例程中插入一些 pr 行：

pr($fieldList); //hashed into computed token
pr($unlocked); //hashed into computed token
pr(Configure::read('Security.salt')); //hashed into computed token
pr($token); //passed token from FormHelper
pr($check); //computed token

希望这可以帮助其他遇到锁定/解锁或丢失字段问题的人快速弄清楚蛋糕内部发生了什么。

编辑：导致问题的字段是一个复选框。如果用户未选择该字段，则 POST 操作不会提交该字段。缺少的字段会导致 SecurityComponent 验证失败。要避免在复选框上出现这种情况，请将其添加到表单中：

$this->Form->unlockField('checkbox.field.name');
于 2013-08-01T17:39:32.857 回答
1

视图中是否有由 Javascript 创建或删除的字段？你去吧。另请参阅有关安全组件的书。

如果要使用这些字段，则必须将它们列入白名单。

于 2013-07-30T17:38:22.397 回答