开启csrf ,ajax的时候，提示The action you have requested is not allowe

zsj1029

ajax  的时候提示 The action you have requested is not allowed
开启了csrf 跨站请求伪造 防范的缘故  具体名词解释http://baike.baidu.com/view/1609487.htm
config 中的
$config['csrf_protection'] = true;
$config['csrf_token_name'] = 'csrf_test_name';
$config['csrf_cookie_name'] = 'csrf_cookie_name';
$config['csrf_expire'] = 7200;
把$config['csrf_protection'] = false;
ajax的时候就不会在报错了 ，或者ajax不重要的post请求改为get估计也行

但是有人说了 我就是想开启最高安全防范跨站请求伪造怎么办
看了文档的孩子都知道http://codeigniter.org.cn/user_guide/libraries/security.html最下面
调用ci的form_open的时候，看源文件能找到紧跟form标签后面有个隐藏域，里面就放着随机生成的代码，当开启保护的时候，提交表单会比对这段代码，从而防范攻击

解决方法
jquery为例
参数name：值

JS复制代码

<?php echo $this->security->get_csrf_token_name();?>  : '<?php echo $this->security->get_csrf_hash(); ?>

复制代码

传递参数同时把csrf的code传过去

xjzxjym

如果在一个页面中需要多次使用AJAX呐？第一次能获取到正确的token，再次使用AJAX时就会报错：The action you have requested is not allowed.

nistlrooy

我也遇到这个问题,楼主可以说详细点吗

nistlrooy

经过论坛理搜索我发现可以通过csrf的方法
就是在ajax传输data的时候附上验证信息

JS复制代码

$.ajax({
                          type:'post',
                           url:'http://'+location.hostname+'/edit',
                           //post data 最后面用于csrf验证
                           data:{title:title.val(),'<?php echo $this->security->get_csrf_token_name(); ?>':'<?php echo $this->security->get_csrf_hash(); ?>'},
                            dataType:'json',
                             success:function(data)
                            {
                                  alert(data.title);
                            }
                )};

复制代码

gauspican

有问题吧，<?php echo ...?> 在js代码中能显示吗？

kaneiii

CI的csrf有个问题，那个csrf随机key不会变的，是故意设计成这样的？

gauspican

kaneiii 发表于 2013-2-15 16:09
CI的csrf有个问题，那个csrf随机key不会变的，是故意设计成这样的？

重新load就变了

sdink

gauspican 发表于 2013-2-11 10:17
有问题吧， 在js代码中能显示吗？

把php代码写在有html的js代码里。太绕了  

gauspican

sdink 发表于 2013-2-16 11:29
把php代码写在有html的js代码里。太绕了

就是写在view里，呵呵

sdink

gauspican 发表于 2013-2-16 13:52
就是写在view里，呵呵

   

kaneiii

gauspican 发表于 2013-2-16 09:51
重新load就变了

重新load也不会变的。
构造器里
                // Set the CSRF hash
                $this->_csrf_set_hash();
初始化自己的成员变量$_csrf_hash，cokkie里有key的话就从cokkie取，否则就MD5新建一个key。

csrf_verify()里
                // Nothing should last forever
                unset($_COOKIE[$this->_csrf_cookie_name]);
                $this->_csrf_set_hash();
                $this->csrf_set_cookie();
看注释也是要重新变更csrf key，但是由于成员变量$_csrf_hash没有清空，所以重设的csrf key还是成员变量$_csrf_hash（参看_csrf_set_hash()），根本不会变。

不解。