php - 发送POST请求到安全操作

我有一个采取由sfGuard保护的POST数据的操作。这意味着，如果用户未登录，则POST数据将发送到登录表单。通常，这不是问题，用户继续登录，必须再次提交数据。

不幸的是，登录表单似乎正在使用POST数据，就好像它是与表单本身一起提交的一样。这意味着它提示缺少必需的用户名和密码字段，并且提示它缺少CSRF token 。提交表单后，最后一个问题并没有消失，这意味着用户无论如何都无法登录。

如果未登录，则不应向用户显示该表单，但是在表单仍处于打开状态的情况下，用户有可能注销。因此，我要求保持接口(interface)水密和无错误。

这是sfGuard的缺点，可以避免，还是我做错了什么？

为了明确起见，路线如下所示:

add_subgroup:
  url:      /group/:id/add
  class:    sfPropelRoute
  options:
    model:  Group
    type:   object
  param:    { module: subgroups, action: create }
  requirements:
    group_id: \d+
    sf_method: [post]

用于提交请求的表格如下:

<form action="<?php echo url_for('add_subgroup', $group) ?>" method="post">
  <input type="hidden" name="group_id" value="<?php echo $group->getId() ?>" />
  <input type="text" name="subgroup_id" />
  <input type="submit" class="button" value="Add" />
</form>

最佳答案

这是sfGuard的一个缺点，因为登录操作将检查POST请求，如果是，则绑定(bind)表单。

从BasesfGuardActions.class.php中的代码中:

if ($request->isMethod('post'))
{
  $this->form->bind($request->getParameter('signin'));

我个人并不喜欢在symfony中的 Action 之间进行转发，并且像在这种情况下一样，我认为重定向比转发更合适。这也解决了您的问题，因为这将导致新的GET请求。您可以通过扩展sfGuardBasicSecurityFilter来完成此行为。

class mySecurityFilter extends sfGuardBasicSecurityFilter
{

  protected function forwardToLoginAction()
  {
    $context = $this->getContext();
    // If you want to redirect back to the original URI (note: original POST data will be lost)
    $context->getUser()->setReferer($context->getRequest()->getUri());
    $url = sfConfig::get('sf_login_module') . '/' . sfConfig::get('sf_login_action');
    $context->getController()->redirect($url);
    throw new sfStopException();
  }

}

现在在app/myapp/config/filters.yml中

security:
  class: mySecurityFilter