Codeigniter CSRF Ajax错误

Question

我正在对视频进行“喜欢/不喜欢”的ajax调用，我发现提交数据时需要传递CSRF令牌。

当用户单击喜欢时，我必须调用一个；当用户单击不喜欢时，我必须调用一个。 我的问题是，如果用户单击喜欢并意识到他们犯了一个错误，然后单击不喜欢，则他们将收到错误：

403 Forbidden

The action you have requested is not allowed.

如果用户首先刷新页面并更改其选择，则一切正常。 只有当他们尝试从一个切换到另一个而没有刷新时。

这是我的代码：

<script>
  // like btn
  $('.like-btn').click(function() {
    $('.dislike-btn').removeClass('text-danger');    
    $(this).addClass('liked-video');
    $.ajax({
      type:"POST",
      url: '<?=base_url("videos/like_video")?>',
      data: {video_id: <?=$video_id?>, user_id: <?=$logged_in_userid?>, value: "like", '<?=$this->security->get_csrf_token_name()?>':'<?=$this->security->get_csrf_hash()?>'},
      success: function() {}
    });
  });

  // dislike btn
  $('.dislike-btn').click(function() {
    $('.like-btn').removeClass('text-success');
    $(this).addClass('disliked-video');
    $.ajax({
      type:"POST",
      url: '<?=base_url("videos/dislike_video")?>',
      data: {video_id: <?=$video_id?>, user_id: <?=$logged_in_userid?>, value: "dislike", '<?=$this->security->get_csrf_token_name()?>':'<?=$this->security->get_csrf_hash()?>'},
      success: function() {}
    });
  });
</script>

更改选择时，为什么会给用户带来错误？

Answer 1

因此，我从用户指南中复制了此段。

“令牌可以在每次提交时重新生成（默认），也可以在CSRF Coo​​kie的整个生命周期内保持不变。令牌的默认重新生成可提供更严格的安全性，但由于其他令牌无效（向后/向前导航，多个标签页/窗口，异步操作等）。您可以通过编辑以下config参数来更改此行为。

尝试在配置文件中添加/编辑此行：

$ config ['csrf_regeneration'] = TRUE;

Answer 2

还有另一种方法，不需要禁用csrf再生。 您可以将新的csrf令牌发送回调用ajax脚本。

在您的CodeIgniter控制器中：

$data = array('data'=> 'data to send back to browser');
$csrf =  $this->security->get_csrf_hash();
$this->output
    ->set_content_type('application/json')
    ->set_output(json_encode(array('data' => $data, 'csrf' => $csrf)));

$ data =返回浏览器的数据

$ csrf =新的csrf令牌，供浏览器用于下一个ajax发布请求

显然，您可以通过其他方式输出此内容，但是JSON主要用于ajax调用。 在每个帖子响应中也要包含此令牌，以用于下一个帖子请求

然后在您的下一个ajax请求中（javascript）：

var token = data.csrf;

$.ajax({
    url: '/next/ajax/request/url',
    type: 'POST',
    data: { new_data: 'new data to send via post', csrf_token:token },
    cache: false,
    success: function(data, textStatus, jqXHR) {
        // Get new csrf token for next ajax post
        var new_csrf_token = data.csrf     
       //Do something with data returned from post request
    },
    error: function(jqXHR, textStatus, errorThrown) {
      // Handle errors here
      console.log('ERRORS: ' + textStatus + ' - ' + errorThrown );
    }
});

还要记住，在我有csrf_token:token将crf_token替换为在application / config / config.php中找到的令牌名称，该行指出$config['csrf_token_name'] = 'csrf_token';