跨站请求伪造Yii，PHP

Question

我正在尝试在yii中实现CSRF验证。我已经编写了自己的类，除了我的post变量(用于表单)不包含令牌之外，一切都很正常。我是否应该自己在post变量中设置令牌？Yii文档指出post变量是由每个表单中的隐藏字段设置的。它还需要在表单中进一步实现吗？我知道令牌不在那里，因为我通过转储Post变量来看到它们。

Answer 1

我想你需要做的就是在你的配置中启用CSRF验证，并使用表单的CHtml (Yii Guide)。以下是您在config中需要的内容：

'components'=>array(
    'request'=>array(
        'enableCsrfValidation'=>true,
    ),
),

Answer 2

除了启用CSRF验证之外，您还需要在表单中放置Yii CSRF令牌。我遇到的最简单的方法之一就是使用CHtml beginForm，它将它作为生成表单标签的一部分。更多信息请点击此处：http://www.yiiframework.com/doc/api/1.1/CHtml#beginForm-detail