CakePHP4で CSRF Middleware の適用範囲を細かく制御する。特定のコントローラだけCSRFチェックさせない。

カテゴリー：CakePHP4

記事作成日：2020-02-25

CakePHP4で全体にはCSRFチェックさせたいが、特定のコントローラやアクションにはCSRFチェックさせたくない場合。 
ホワイトリストの指定で可能になる。

## ホワイトリスト

結論はホワイトリストだが、日本語の公式サイトにはホワイトリストの事は書かれていない(2020/2/24時点)。 
コアのコードを読むとwhitelistCallback()ってのが見つかる。

vendor/cakephp/cakephp/src/Http/CsrfProtectionMiddleware.php
```
public function whitelistCallback(callable $callback)
{
    $this->whitelistCallback = $callback;

return $this;
}
```

英語の公式サイトに書かれておりました。

## scope指定(本命ではない)

日本語公式サイトやコードのコメントで見つかるのは以下の通り。
```
$routes->scope('/', function (RouteBuilder $builder) {
}
$routes->scope('/api', function (RouteBuilder $builder) {
}
```
これだと、 /api だけCSRFチェックさせたくない場合には制御できない。

## ホワイトリスト指定(本命)

routes.phpの全体CSRFチェックはそのままで、ある所でホワイトリスト指定すればそれが有効になるっていう事じゃなくて、以下の記述が必要。

まずはデフォルト記述の CSRF Middleware を全てコメントアウトする。

config/routes.php
```
//use Cake\Http\Middleware\CsrfProtectionMiddleware;	//ここでは使わない
$routes->scope('/', function (RouteBuilder $builder) {

//$builder->registerMiddleware('csrf', new CsrfProtectionMiddleware([	//3行コメントアウト
	//	'httpOnly' => true,
	//]));

//$builder->applyMiddleware('csrf');	//1行コメントアウト

});
```
Application.php で、該当するコントローラやアクションの場合にホワイトリスト指定するという仕組み。 
この例では、Apis/first についてだけCSRFチェックしない。その他の場合はCSRFチェックする。

src/Application.php
```
public function middleware(MiddlewareQueue $middlewareQueue): MiddlewareQueue {
	// 以下12行を追記
	$csrf = new CsrfProtectionMiddleware(['httpOnly'=>true]);
	$csrf->whitelistCallback(function ($request) {
		$controller = $request->getParam('controller');
		$action = $request->getParam('action');
		if (is_null($controller) || is_null($action)) {	//この3行は無くてもいいかな
			return false;
		}
		if (strcmp($controller,'Apis') == 0 && strcmp($action,'first') == 0) {
			return true;
		}
		return false;
	});

$middlewareQueue
		->add(new ErrorHandlerMiddleware(Configure::read('Error')))
		->add(new AssetMiddleware([
			'cacheTime' => Configure::read('Asset.cacheTime'),
		]))
		->add(new RoutingMiddleware($this))
		->add($csrf);	//この位置(順番)に記述する事
	return $middlewareQueue;
}
```

## 必要に応じて

```
class ApisController extends SAppController {

public function beforeFilter(EventInterface $event) {
		parent::beforeFilter($event);
		$this->Auth->allow(['first']);
		$this->Security->setConfig('unlockedActions', ['first']);
	}
```

必要に応じて、 
$this->Auth->allow(); 
$this->Security->setConfig('unlockedActions', ); 
をコントローラに追記する。

CONTENTS

その他

PDF 一括でモバイル最適化を行う

その他

見開きPDFを単ページの連結に変更する手順

Android

Unresolved reference: constraintlayout

PHP

CSSや画像ファイル更新時にブラウザキャッシュを取得させない

PHP

静的ウェブサイトをphpで開発して,納品時に静的htmlへと変換する。