CakePHP4で CSRF Middleware の適用範囲を細かく制御する。特定のコントローラだけCSRFチェックさせない。

CakePHP4で全体にはCSRFチェックさせたいが、特定のコントローラやアクションにはCSRFチェックさせたくない場合。 
ホワイトリストの指定で可能になる。

## ホワイトリスト

結論はホワイトリストだが、日本語の公式サイトにはホワイトリストの事は書かれていない(2020/2/24時点)。 
コアのコードを読むとwhitelistCallback()ってのが見つかる。

vendor/cakephp/cakephp/src/Http/CsrfProtectionMiddleware.php
```
public function whitelistCallback(callable $callback)
{
    $this->whitelistCallback = $callback;

return $this;
}
```

英語の公式サイトに書かれておりました。

## scope指定(本命ではない)

日本語公式サイトやコードのコメントで見つかるのは以下の通り。
```
$routes->scope('/', function (RouteBuilder $builder) {
}
$routes->scope('/api', function (RouteBuilder $builder) {
}
```
これだと、 /api だけCSRFチェックさせたくない場合には制御できない。

## ホワイトリスト指定(本命)

routes.phpの全体CSRFチェックはそのままで、ある所でホワイトリスト指定すればそれが有効になるっていう事じゃなくて、以下の記述が必要。

まずはデフォルト記述の CSRF Middleware を全てコメントアウトする。

config/routes.php
```
//use Cake\Http\Middleware\CsrfProtectionMiddleware;	//ここでは使わない
$routes->scope('/', function (RouteBuilder $builder) {

//$builder->registerMiddleware('csrf', new CsrfProtectionMiddleware([	//3行コメントアウト
	//	'httpOnly' => true,
	//]));

//$builder->applyMiddleware('csrf');	//1行コメントアウト

});
```
Application.php で、該当するコントローラやアクションの場合にホワイトリスト指定するという仕組み。 
この例では、Apis/first についてだけCSRFチェックしない。その他の場合はCSRFチェックする。

src/Application.php
```
public function middleware(MiddlewareQueue $middlewareQueue): MiddlewareQueue {
	// 以下12行を追記
	$csrf = new CsrfProtectionMiddleware(['httpOnly'=>true]);
	$csrf->whitelistCallback(function ($request) {
		$controller = $request->getParam('controller');
		$action = $request->getParam('action');
		if (is_null($controller) || is_null($action)) {	//この3行は無くてもいいかな
			return false;
		}
		if (strcmp($controller,'Apis') == 0 && strcmp($action,'first') == 0) {
			return true;
		}
		return false;
	});

$middlewareQueue
		->add(new ErrorHandlerMiddleware(Configure::read('Error')))
		->add(new AssetMiddleware([
			'cacheTime' => Configure::read('Asset.cacheTime'),
		]))
		->add(new RoutingMiddleware($this))
		->add($csrf);	//この位置(順番)に記述する事
	return $middlewareQueue;
}
```

## 必要に応じて

```
class ApisController extends SAppController {

public function beforeFilter(EventInterface $event) {
		parent::beforeFilter($event);
		$this->Auth->allow(['first']);
		$this->Security->setConfig('unlockedActions', ['first']);
	}
```

必要に応じて、 
$this->Auth->allow(); 
$this->Security->setConfig('unlockedActions', ); 
をコントローラに追記する。

CakePHP4で CSRF Middleware の適用範囲を細かく制御する。特定のコントローラだけCSRFチェックさせない。

動画

画像

アイコン

文字列

QRコード

Excel

SVG

読み上げ

HTML,CSS

色

3D

音

ビット、バイト

データベース

カレンダー系

IPv4,IPv6

インターネット

開発

ビンゴ大会開催システム(Wタイプ) 自動更新

ビンゴ(Pタイプ) 自動更新

ビンゴ(Aタイプ) 抽選機+カード

ビンゴ(Mタイプ) 手動更新

抽選機等

パズル、ゲーム

他