如何将 Zend Framework 表单哈希（令牌）与 AJAX 结合使用

Question

我已将 Zend_Form_Element_Hash 包含到表单 multiplecheckbox 表单中。我将 jQuery 设置为在单击复选框时触发 AJAX 请求，我通过此 AJAX 请求传递令牌。第一个 AJAX 请求运行良好，但后续请求失败。

我怀疑一旦令牌被验证，它就会从会话中删除（hop = 1）。

使用 Zend Framework Hash 保护表单并使用 AJAX 完成其中一些请求的攻击计划是什么？

Answer 1

我最终放弃使用 Zend_Form_Element_Hash 并只是手动创建一个令牌，用 Zend_Session 注册它，然后在提交时检查它。

form.php

$myNamespace = new Zend_Session_Namespace('authtoken');
$myNamespace->setExpirationSeconds(900);
$myNamespace->authtoken = $hash = md5(uniqid(rand(),1));
$auth = new Zend_Form_Element_Hidden('authtoken');
$auth->setValue($hash)
     ->setRequired('true')
     ->removeDecorator('HtmlTag')
     ->removeDecorator('Label');    

controller.php

$mysession = new Zend_Session_Namespace('authtoken');
$hash = $mysession->authtoken;
if($hash == $data['authtoken']){
    print "success";
} else {
    print "you fail";
}

这似乎有效并且仍然保持相对理智和安全。我仍然宁愿使用 Hash 元素，但我似乎无法使其与 AJAX 一起使用。

谢谢大家。

Answer 2

这就是如何以 ajax 形式处理哈希字段：

class AuthController extends Zend_Controller_Action
{
    public function init()
    {
        $contextSwitch = $this->_helper->getHelper('contextSwitch');
        $contextSwitch->addActionContext('index', 'json')
                      ->initContext();
    }

    public function loginAction()
    {
        $form = new Application_Form_Login();
        $request = $this->getRequest();

        if ($request->isPost()) {
            if ($form->isValid($request->getPost())) {
                // some code ..
            } else {
                // some code ..

                // Regenerate the hash and assign to the view
                $reservationForm->hash->initCsrfToken();
                $this->view->hash = $reservationForm->hash->getValue();
            }
        }
        $this->view->form = $form;
    }
}

然后在您的视图脚本中..

<? $this->dojo()->enable()
                ->requireModule('dojox.json.query')
                ->onLoadCaptureStart() ?>
function() {
    var form = dojo.byId("login_form")
    dojo.connect(form, "onsubmit", function(event) {
        dojo.stopEvent(event);

        var xhrArgs = {
            form: this,
            handleAs: "json",
            load: function(data) {
                // assign the new hash to the field
                dojo.byId("hash").value = dojox.json.query("$.hash", data);

                // some code ..
            },
            error: function(error) {
                // some code ..
            }
        }
        var deferred = dojo.xhrPost(xhrArgs);
    });
}
<? $this->dojo()->onLoadCaptureEnd() ?>

希望还不算太晚：D

Answer 3

有一个解决方案：

除了包含数据的表单之外，创建一个不包含元素的表单。您可以从控制器实例化这两种形式。同样在控制器中，您将元素哈希添加到空表单中。两种形式都应发送至愿景。然后，在控制器中的条件“if ($request->isXmlHttpRequest())”中，您呈现空表单。然后，使用“getValue()”方法获取哈希值。该值必须通过 Ajax 作为响应发送，然后使用 JavaScript 替换已经过时的哈希值。为哈希创建空表单的选项是为了避免其他元素（例如验证码）出现问题，如果呈现表单，验证码将再次生成其 id，并且还需要替换新信息。由于有两种不同的形式，验证将单独进行。稍后您可以随时重复使用哈希（空）形式。以下是代码示例。

//In the controller, after instantiating the empty form you add the Hash element to it:
$hash = new Zend_Form_Element_Hash('no_csrf_foo');
$hash_form->addElement('hash', 'no_csrf_foo', array('salt' => 'unique'));

 //...

//Also in the controller, within the condition "if ($request->isXmlHttpRequest())" you render the form (this will renew the session for the next attempt to send the form) and get the new id value:
$hash_form->render($this->view);
$hash_value['hash'] = $hash_form->getElement('no_csrf_foo')->getValue();//The value must be added to the ajax response in JSON, for example. One can use the methods Zend_Json::decode($response) and Zend_Json::encode($array) for conversions between PHP array and JSON.

//---------------------------------------

//In JavaScript, the Ajax response function:
document.getElementById("no_csrf_foo").value = data.hash;//Retrieves the hash value from the Json response and set it to the hash input.

狮子座

Answer 4

表单哈希原则上很好，但在实践中却有点噩梦。我认为处理此问题的最佳方法是在发出请求时返回带有响应的新哈希，并根据需要更新表单标记或存储在内存中的 JavaScript。

新的哈希值可以从表单对象中获得，或者您可以从会话中读取它。

Answer 5

您在问题中暗示了正确的答案：增加跳数。

ZF 在线手册中具体提到了这一点，但他们更新了手册，现在我找不到它（笑） - 否则我会为您发布链接。

Answer 6

如果您想在ajax端使用表单验证器，请使用以下代码：

Myform.php

class Application_Form_Myform extends Zend_Form
{ 
    # init function & ... 
    public function generateform($nohash = false)
    { 
        # Some elements
        if(!$nohash)
        {
           $temp_csrf = new Zend_Session_Namespace('temp_csrf'); 
           $my_hash = new Zend_Form_Element_Hash ( 'my_hash' );
           $this->addElement ( $my_hash , 'my_hash');  
           $temp_csrf->hash = $my_hash->getHash();
        }
        # Some other elements
    }
}

AjaxController.php

class AjaxController extends Zend_Controller_Action
{ 
    // init ... 
    public function validateAction()
    { 
         # ... 
         $temp_csrf = new Zend_Session_Namespace('temp_csrf');
         if($temp_csrf->hash == $params['received_hash_from_client'])
         {
             $Myform     = new Application_Form_Myform(); 
             $Myform->generateform(true);
             if($AF_Bill->isValid($params))
             {
                 # Form data is valid
             }else{
                 # Form invalid
             }
         }else{
             # Received hash from client is not valid
         }
         # ... 
    }
}