CakePHP ajax投稿は400のバッドリクエストを返し続けます

Question

私はアクションにajax投稿を使用する傾向があります。 GETリクエストはうまく動作しますが、POSTしようとすると「400 Bad Request」が火かき棒で表示され、「Black hole」応答が返されます。ここで

は、jQueryのリクエストです：

  $.ajax({ 
      url:"/usermgmt/users/editUser", 
      type:"POST", 
      success:function(data) { 
       alert('Wow this actually worked'); 
       //ko.applyBindings(self); 

      }, 
      error:function() { 
       alert('This will never work'); 
      } 
     }); 

はケーキのセキュリティ設定のために、このですか私はここで何をしないのですか？

Answer 1

保護は、セキュリティコンポーネントによって提供される基本的な機能の一つです。有効になっている限り、すべてのPOSTをフォーム提出として扱います。

通常の手作業でコード化されたHTMLフォームは、セキュリティコンポーネントが有効な状態では動作しません。したがって、JQueryによって生成されたPOSTも有効になりません。もちろん、$this->Security->validatePost = false;または$this->Security->csrfCheck = false;を使用できますが、セキュリティコンポーネントが提供する保護が失われます。

セキュリティコンポーネントを正常に保ち、正常に動作させるには、CakePHPフォームヘルパーを使用して、ajax経由で投稿するフォームを作成する必要があります。このようdata[_Token][fields]とdata[_Token][unlocked]隠しフィールドは、そのキーを使用して生成されます：

<?php 
    echo $this->Form->create('Test',array('id'=>'testform')); 
    echo $this->Form->input('Something'); 
    echo $this->Form->submit(); 
    echo $this->Form->end(); 
?> 

これは、次のようなものが生成されます。

<form action="/your/url" id="testform" method="post" accept-charset="utf-8"> 
    <div style="display:none;"> 
     <input type="hidden" name="_method" value="POST"/> 
     <input type="hidden" name="data[_Token][key]" value="9704aa0281d8b5a2fcf628e9fe6f6c8410d8f07a" id="Token937294161"/> 
    </div> 
    <div class="input text"> 
     <input name="data[Test][Something]" class="required" type="text" id="TestSomething"/> 
    </div> 
    <div class="submit"> 
     <input type="submit" /> 
    </div> 
    <div style="display:none;"> 
     <input type="hidden" name="data[_Token][fields]" value="0c81fda1883cf8f8b8ab39eb15d355eabcfee7a9%3A" id="TokenFields817327064"/> 
     <input type="hidden" name="data[_Token][unlocked]" value="" id="TokenUnlocked281911782"/> 
    </div> 
</form> 

は、今ではそれができるように、jQueryのでは、このフォームをシリアル化の問題ですPOST：

送信ボタンを押すと、POSTが成功します。

重要：フォームヘルパーのトークンはセキュリティコンポーネントで一度しか使用できないため、このソリューションは、ページ生成ごとに1回だけPOSTする場合にのみ機能します。

public $components = array(
    'Security' => array(
     'csrfUseOnce' => false 
    ) 
); 

...この意志を：あなたはページをリロード間で同じフォームを何度も投稿できるようにする必要がある場合は、あなたのコントローラの先頭にセキュリティコンポーネントを追加するとき、あなたは次のことを行う必要がありますトークンを複数の要求に使用できるようにします。 はとして安全ではありませんが、csrfExpiresと組み合わせると、最終的にトークンが期限切れになることがあります。これはすべてCSRF configuration section of the Cake bookに記載されています。

Answer 2

メイクSHUREあなたが機能editUserを入れていますがUserControllerの内部

public function beforeFilter(){ 
    parent::beforeFilter() 
    $this->Auth->allow('editUser'); 
    } 

、フォームが改ざんに対する

よろしく

Answer 3

FYI CakePHP 2.3以降には、コントローラのbeforeFilterまたはAppControllerでこの目的のためにunlockedActionsが含まれるようになりました。

$this->Security->unlockedActions = array('ajaxAction'); 

から：ヨセフの答えは私のための1つの詳細がありませんでしたhttp://book.cakephp.org/2.0/en/core-libraries/components/security-component.html#disabling-security-component-for-specific-actions

Answer 4

。私のフォームとajaxコールはindex.ctpにあり、/controller/edit.ctpを呼び出していましたので、$ this-> Form-> create callに 'action' => '/ controller/edit'が必要でした。