CakePHP4でCSRFを特定のコントローラやアクションで無効化

カテゴリー：CakePHP4

記事作成日：2020-08-06

CakePHP4.1で特定のコントローラやアクションでCSRFチェックを無効化したい場合は以下の通りとなる。<br>
CakePHP3.xの場合は config/routes.php に記述されているcsrfの該当箇所をコメントアウトする必要が有ったが、PHP4.1では CsrfProtectionMiddleware の記述は src/Application.php に移動となっている。<br>
よって、変更するファイルは src/Application.php のみで良い。

## オリジナル

src/Application.php
```php
/**
 * Setup the middleware queue your application will use.
 *
 * @param \Cake\Http\MiddlewareQueue $middlewareQueue The middleware queue to setup.
 * @return \Cake\Http\MiddlewareQueue The updated middleware queue.
 */
public function middleware(MiddlewareQueue $middlewareQueue): MiddlewareQueue
{
	$middlewareQueue
		// Catch any exceptions in the lower layers,
		// and make an error page/response
		->add(new ErrorHandlerMiddleware(Configure::read('Error')))

// Handle plugin/theme assets like CakePHP normally does.
		->add(new AssetMiddleware([
			'cacheTime' => Configure::read('Asset.cacheTime'),
		]))

// Add routing middleware.
		// If you have a large number of routes connected, turning on routes
		// caching in production could improve performance. For that when
		// creating the middleware instance specify the cache config name by
		// using it's second constructor argument:
		// `new RoutingMiddleware($this, '_cake_routes_')`
		->add(new RoutingMiddleware($this))

// Parse various types of encoded request bodies so that they are
		// available as array through $request->getData()
		// https://book.cakephp.org/4/en/controllers/middleware.html#body-parser-middleware
		->add(new BodyParserMiddleware())

// Cross Site Request Forgery (CSRF) Protection Middleware
		// https://book.cakephp.org/4/en/controllers/middleware.html#cross-site-request-forgery-csrf-middleware
		->add(new CsrfProtectionMiddleware([
			'httponly' => true,
		]));

return $middlewareQueue;
}
```

## 変更後

$csrf = new CsrfProtectionMiddleware(['httponly'=>true]);
	$csrf->skipCheckCallback(function($request) {			// Token check will be skipped when callback returns `true`.
		$controller = $request->getParam('controller');
		$action = $request->getParam('action');
		if (is_null($controller) || is_null($action)) {
			return false;
		}
		if (strcmp($controller,'Apis') == 0) {	// Skip token check for API URLs.
			return true;
		}
		return false;
	});

$middlewareQueue
		// Catch any exceptions in the lower layers,
		// and make an error page/response
		->add(new ErrorHandlerMiddleware(Configure::read('Error')))

// Handle plugin/theme assets like CakePHP normally does.
		->add(new AssetMiddleware([
			'cacheTime' => Configure::read('Asset.cacheTime'),
		]))

// Cross Site Request Forgery (CSRF) Protection Middleware
		// https://book.cakephp.org/4/en/controllers/middleware.html#cross-site-request-forgery-csrf-middleware
		//->add(new CsrfProtectionMiddleware([
		//	'httponly' => true,
		//]));
		->add($csrf);

return $middlewareQueue;
}
```

この例では、ApisController の場合にCSRFチェックをしない。

CONTENTS

その他

見開きPDFを単ページの連結に変更する手順

Android

Unresolved reference: constraintlayout

PHP

CSSや画像ファイル更新時にブラウザキャッシュを取得させない

PHP

静的ウェブサイトをphpで開発して,納品時に静的htmlへと変換する。

ウェブサーバー