CakePHP4で CSRF Middleware の適用範囲を細かく制御する。特定のコントローラだけCSRFチェックさせない。

カテゴリー：CakePHP4

記事作成日：2020-02-25

CakePHP4で全体にはCSRFチェックさせたいが、特定のコントローラやアクションにはCSRFチェックさせたくない場合。 
ホワイトリストの指定で可能になる。

## ホワイトリスト

結論はホワイトリストだが、日本語の公式サイトにはホワイトリストの事は書かれていない(2020/2/24時点)。 
コアのコードを読むとwhitelistCallback()ってのが見つかる。

vendor/cakephp/cakephp/src/Http/CsrfProtectionMiddleware.php
```
public function whitelistCallback(callable $callback)
{
    $this->whitelistCallback = $callback;

return $this;
}
```

英語の公式サイトに書かれておりました。

## scope指定(本命ではない)

日本語公式サイトやコードのコメントで見つかるのは以下の通り。
```
$routes->scope('/', function (RouteBuilder $builder) {
}
$routes->scope('/api', function (RouteBuilder $builder) {
}
```
これだと、 /api だけCSRFチェックさせたくない場合には制御できない。

## ホワイトリスト指定(本命)

routes.phpの全体CSRFチェックはそのままで、ある所でホワイトリスト指定すればそれが有効になるっていう事じゃなくて、以下の記述が必要。

まずはデフォルト記述の CSRF Middleware を全てコメントアウトする。

config/routes.php
```
//use Cake\Http\Middleware\CsrfProtectionMiddleware;	//ここでは使わない
$routes->scope('/', function (RouteBuilder $builder) {

//$builder->registerMiddleware('csrf', new CsrfProtectionMiddleware([	//3行コメントアウト
	//	'httpOnly' => true,
	//]));

//$builder->applyMiddleware('csrf');	//1行コメントアウト

});
```
Application.php で、該当するコントローラやアクションの場合にホワイトリスト指定するという仕組み。 
この例では、Apis/first についてだけCSRFチェックしない。その他の場合はCSRFチェックする。

src/Application.php
```
public function middleware(MiddlewareQueue $middlewareQueue): MiddlewareQueue {
	// 以下12行を追記
	$csrf = new CsrfProtectionMiddleware(['httpOnly'=>true]);
	$csrf->whitelistCallback(function ($request) {
		$controller = $request->getParam('controller');
		$action = $request->getParam('action');
		if (is_null($controller) || is_null($action)) {	//この3行は無くてもいいかな
			return false;
		}
		if (strcmp($controller,'Apis') == 0 && strcmp($action,'first') == 0) {
			return true;
		}
		return false;
	});

$middlewareQueue
		->add(new ErrorHandlerMiddleware(Configure::read('Error')))
		->add(new AssetMiddleware([
			'cacheTime' => Configure::read('Asset.cacheTime'),
		]))
		->add(new RoutingMiddleware($this))
		->add($csrf);	//この位置(順番)に記述する事
	return $middlewareQueue;
}
```

## 必要に応じて

```
class ApisController extends SAppController {

public function beforeFilter(EventInterface $event) {
		parent::beforeFilter($event);
		$this->Auth->allow(['first']);
		$this->Security->setConfig('unlockedActions', ['first']);
	}
```

必要に応じて、 
$this->Auth->allow(); 
$this->Security->setConfig('unlockedActions', ); 
をコントローラに追記する。

CONTENTS

Android

Androidアプリの合計ダウンロード数、iOSアプリの合計ダウンロード数

Flutter

Android Studio. Could not determine java version. Unable to find bundled Java version.

その他

XAMPPのMySQLを復旧

ブラウザ

各ブラウザでのキャッシュクリアまとめ

JavaScript

JavaScriptで動画読み込み