根据日期时间生成CSRF令牌依赖

Question

在Symfony 2中是否存在某种在每次渲染表单时生成CSRF令牌的方式？ 在我的控制器中，我尝试了以下操作：

$request = $this->get('request');
    if ($request->getMethod() != 'POST') {
        $csrf = $this->get('form.csrf_provider');
        $date= new \DateTime("now");
        $this->date = $date->format('Y-m-d H:i:s');
        $token = $csrf->generateCsrfToken($this->date);
    } elseif($request->getMethod() == "POST") {
        $csrf = $this->get('form.csrf_provider');
        $token = $csrf->generateCsrfToken($this->date);
    }

    $form =  $this->createFormBuilder()
    ....
    ->add('_token','hidden',array(
        'data' => $token
        ))->getForm();

    if ($request->getMethod() == 'POST') {
        $form->bindRequest($request);

        if ($form->isValid()) {
            DO something
        }
    }

所有的时间都在我的请求权令牌哈希中。 但是在bindRequest更改为由parameters.ini和isValid方法中的安全字符串生成的默认哈希之后，肯定会返回FALSE响应。 存在某种方式，该如何调整呢？

编辑作为对unravel答案的答复，我编辑了控制器并创建了CSRF提供程序，但仍然收到“ CSRF令牌无效。请尝试重新提交表单”错误。 我的CSRF提供程序如下所示：

namespace My\Namespace;
use Symfony\Component\HttpFoundation\Session;
use Symfony\Component\Form\Extension\Csrf\CsrfProvider\CsrfProviderInterface;

class MyCsrfProvider implements CsrfProviderInterface
{
    protected $session;
    protected $secret;
    protected $datetime;

    public function __construct(Session $session, $secret)
    {
        $this->secret = $secret;
        $this->datetime = new \DateTime('now');
        $this->session = $session;
    }

    public function generateCsrfToken($intention)
    {
        return sha1($this->secret.$intention.$this->datetime->format('YmdHis').$this->getSessionId());
    }

    public function isCsrfTokenValid($intention, $token)
    {
        return $token === $this->generateCsrfToken($intention);
    }

    protected function getSessionId()
    {
        return $this->session->getId();
    }
}

比我添加到config.yml服务类：

services:
form.csrf_provider: 
    class: My\Namespace\MyCsrfProvider
    arguments: [ @session, %kernel.secret% ]

我将控制器更改为：

//any form without _token field
    $form =  $this->createFormBuilder()
        ->add('field1')
        ->add('field2')->getForm()

        if ($this->getRequest()->getMethod() == 'POST') {

            $request = $this->getRequest();
            $form->bindRequest($request);

            if ($form->isValid()) {
                Do something
                return $this->redirect($this->generateUrl('somewhere'));
            }
        }

难道我的哈希值会在几秒钟内出现问题？ 因为如果我从日期时间格式中删除秒，它可以工作，但是到期时间为1分钟，这不是一个好的解决方案。 我认为原因是时间已更改。

Answer 1

Symfony的Form组件在Form事件中生成CSRF令牌。 有关现有实现的工作方式，请参见类Symfony\\Component\\Form\\Extension\\Csrf\\EventListener\\CsrfValidationListener 。 这意味着当您在表单上调用bindRequest() （或Symfony 2.2+中的bind() ）时，将调用该表单事件并覆盖您声明的令牌。

定义其他令牌的正确方法是创建一个CsrfProvider ，它基本上是您编写的实现Symfony\\Component\\Form\\Extension\\Csrf\\CsrfProvider\\CsrfProviderInterface 。 请查看Symfony \\ Component \\ Form \\ Extension \\ Csrf \\ CsrfProvider \\ DefaultCsrfProvider ，以获取有关如何实现此功能的示例。

编写form.csrf_provider.class类之后，在app/config/parameters.yml （或其他配置文件，在哪里都无所谓）中，将form.csrf_provider.class参数设置为类的名称。

完成所有这些之后，您应该能够从控制器中删除所有编写的自定义代码，并且只需使用表单系统就好像没有什么不同（即，删除->add('_token')...部分）。

希望有帮助！

Answer 2

您知道form_rest吗？ 将此添加到表单底部，以使其自动生成您的CSRF令牌：

{{ form_rest(form) }}