zsj1029 发表于 2012-9-23 20:35:43

开启csrf ,ajax的时候,提示The action you have requested is not allowe

本帖最后由 zsj1029 于 2012-9-23 21:19 编辑

ajax的时候提示 The action you have requested is not allowed
开启了csrf 跨站请求伪造 防范的缘故具体名词解释http://baike.baidu.com/view/1609487.htm
config 中的
$config['csrf_protection'] = true;
$config['csrf_token_name'] = 'csrf_test_name';
$config['csrf_cookie_name'] = 'csrf_cookie_name';
$config['csrf_expire'] = 7200;
把$config['csrf_protection'] = false;
ajax的时候就不会在报错了 ,或者ajax不重要的post请求改为get估计也行

但是有人说了 我就是想开启最高安全防范跨站请求伪造怎么办
看了文档的孩子都知道http://codeigniter.org.cn/user_guide/libraries/security.html最下面
调用ci的form_open的时候,看源文件能找到紧跟form标签后面有个隐藏域,里面就放着随机生成的代码,当开启保护的时候,提交表单会比对这段代码,从而防范攻击

解决方法
jquery为例
参数name:值

<?php echo $this->security->get_csrf_token_name();?>: '<?php echo $this->security->get_csrf_hash(); ?>

传递参数同时把csrf的code传过去

xjzxjym 发表于 2016-5-30 15:47:51

如果在一个页面中需要多次使用AJAX呐?第一次能获取到正确的token,再次使用AJAX时就会报错:The action you have requested is not allowed.

nistlrooy 发表于 2012-10-11 16:53:15

我也遇到这个问题,楼主可以说详细点吗

nistlrooy 发表于 2012-10-12 10:44:49

本帖最后由 nistlrooy 于 2012-10-12 10:46 编辑

经过论坛理搜索我发现可以通过csrf的方法
就是在ajax传输data的时候附上验证信息

$.ajax({
                        type:'post',
                           url:'http://'+location.hostname+'/edit',
                           //post data 最后面用于csrf验证
                           data:{title:title.val(),'<?php echo $this->security->get_csrf_token_name(); ?>':'<?php echo $this->security->get_csrf_hash(); ?>'},
                            dataType:'json',
                           success:function(data)
                            {
                                  alert(data.title);
                            }
                )};

gauspican 发表于 2013-2-11 10:17:07

有问题吧,<?php echo ...?> 在js代码中能显示吗?

kaneiii 发表于 2013-2-15 16:09:44

CI的csrf有个问题,那个csrf随机key不会变的,是故意设计成这样的?:L

gauspican 发表于 2013-2-16 09:51:24

kaneiii 发表于 2013-2-15 16:09 static/image/common/back.gif
CI的csrf有个问题,那个csrf随机key不会变的,是故意设计成这样的?

重新load就变了

sdink 发表于 2013-2-16 11:29:17

gauspican 发表于 2013-2-11 10:17 static/image/common/back.gif
有问题吧, 在js代码中能显示吗?

把php代码写在有html的js代码里。太绕了

gauspican 发表于 2013-2-16 13:52:33

sdink 发表于 2013-2-16 11:29 static/image/common/back.gif
把php代码写在有html的js代码里。太绕了

就是写在view里,呵呵

sdink 发表于 2013-2-17 08:31:24

gauspican 发表于 2013-2-16 13:52 static/image/common/back.gif
就是写在view里,呵呵

:P   

kaneiii 发表于 2013-2-20 09:39:03

gauspican 发表于 2013-2-16 09:51 static/image/common/back.gif
重新load就变了

重新load也不会变的。
构造器里
                // Set the CSRF hash
                $this->_csrf_set_hash();
初始化自己的成员变量$_csrf_hash,cokkie里有key的话就从cokkie取,否则就MD5新建一个key。

csrf_verify()里
                // Nothing should last forever
                unset($_COOKIE[$this->_csrf_cookie_name]);
                $this->_csrf_set_hash();
                $this->csrf_set_cookie();
看注释也是要重新变更csrf key,但是由于成员变量$_csrf_hash没有清空,所以重设的csrf key还是成员变量$_csrf_hash(参看_csrf_set_hash()),根本不会变。

不解。:dizzy:
页: [1] 2
查看完整版本: 开启csrf ,ajax的时候,提示The action you have requested is not allowe