如何使用 Zend_Form_Element_Hash？

Question

然后我尝试使用 Zend_Form_Element_Hash 它会在每个请求时重新生成一个哈希值。

在我的代码中：

 // form
 $this->addElement('hash', 'hihacker', array('salt' => 'thesal'));

然后我转储 $_SESSION 我看到每个页面重新加载都有一个新值。

然后我发送一个表单，它报告错误“令牌'28a5e0e2a50a3d4afaa654468fd29420'与给定令牌'a64407cc11376dac1916d2101de90d29'不匹配”，每次 - 新的令牌对

Answer 1

$form = new Form();
$form->addElement('hash', 'hihacker',
    array('salt' => 'YOUR TOO MUCH SALTY TEXT !!@@'));
if ($this->_request->isPost() && $form->isValid($this->_request->getPost())) {
    // Valid ! you are safe do what ever you want .
} else if (count($form->getErrors('request_token')) > 0) {

    ///get him to the error controller 
    $this->_forward('csrf-forbidden', 'error');
    return;
}

它对我来说效果很好，但请仔细检查您的会话设置

“
在内部，该元素使用 Zend_Session_Namespace 存储唯一标识符，并在提交时检查它（检查 TTL 是否尚未过期）。然后使用“相同”验证器来确保提交的哈希值与存储的哈希值匹配。
“formHidden”视图助手用于呈现表单中的元素。
”
表单 ZF 文档

Answer 2

Zend_Form_Element_Hash 应该重新生成每个请求。您所描述的是您的令牌不同步。这通常发生在多种表单或重定向/转发时。

如果您在页面上的某个地方使用 ajax，您可以将其放入控制器操作中（接近末尾）

$form->hash->initCsrfToken();

$this->view->hash = $form->hash->getValue();

然后，当您执行 ajax 调用时，只需提取令牌并使用选择器和 .replaceWith() 替换表单上的令牌即可。这也是处理多种表单的方式，

否则您可能会重定向某些内容或加载某些内容两次，并且您应该更改 Zend 库中的跃点。跃点是令牌在过期之前可以被请求的次数

Answer 3

检查脚本中是否存在隐藏的重定向或转发...哈希的跳数为 1，因此任何重定向都会使其过期。

FWIW 我认为 ZF 的几个版本之前的哈希中存在一个微妙的错误。我陷入了完全相同的问题，并修改了代码以使跳数 = 2。当我升级 ZF 后，这个问题就消失了。