Silex 2/Symfony:从安全登录表单中检查CSRF令牌

Question

我不使用"表单服务提供程序"，而是手动将CSRF令牌输出到我的twig登录表单：

$csrf_token = $app['csrf.token_manager']->getToken('token_id'); //'TOKEN'

在登录名.html.twig中：

<input type="hidden" name="_csrf_token" value="{{ csrf_token }}">

手册(https://silex.symfony.com/doc/2.0/providers/csrf.html(说，可以像这样检查令牌：

$app['csrf.token_manager']->isTokenValid(new CsrfToken('token_id', 'TOKEN'));

但是整个登录过程由安全组件处理。如何添加 CSRF 检查？

这是我的防火墙设置：

$app['security.firewalls'] = array(
'login' => array(
'pattern' => '^/user/login$',
),
'secured_area' => array(
'pattern' => '^.*$',
'anonymous' => false,
'remember_me' => array(),
'form' => array(
'login_path' => '/user/login',
'check_path' => '/user/login_check',
),
'logout' => array(
'logout_path' => '/user/logout',
'invalidate_session' => true
),
'users' => function () use ($app) {
return new UserProvider($app['db']);
},
));

和登录控制器：

$app->get('/user/login', function(Request $request) use ($app) {
$csrf_token = $app['csrf.token_manager']->getToken('token_id'); //'TOKEN'
return $app['twig']->render('login.html.twig', array(
'csrf_token' => $csrf_token,
));
});

Answer 1

尝试将csrf选项添加到安全配置中：

$app['security.firewalls'] = array(
....
'form' => array(
'login_path' => '/user/login',
'check_path' => '/user/login_check',
'with_csrf' => true,
'csrf_parameter' => '_csrf_token', // form field name
'csrf_token_id' => 'token_id'
),
....