CodeIgniter和CSRF问题

Question

当用户登录后，他可以通过一个小表单执行搜索。这是对控制器的AJAX请求。我可以多次执行此操作。但是，当我尝试重新加载页面时，用户将注销并需要再次登录。

这是我的JS代码：

var CFG = {
        url: '<?php echo $this->config->item('base_url'); ?>',
        token: '<?php echo $this->security->get_csrf_hash(); ?>'
};


$(function() 
{

    $('#personen_search_result').hide();
    $('#search_alert').hide();

    $.ajaxSetup(
    {
        data: 
        {
            token:CFG.token
        }
    });

    $(document).ajaxSuccess(function(e,x)
    {
        var result = $.parseJSON(x.responseText);
        $('input:hidden[name="token"]').val(result.token);
        $.ajaxSetup(
        {
            data: 
            {
                token: result.token
            }
        });
    });


    $( "#submit_personen" ).click(function(event) 
    {


        event.preventDefault();

        var namelast        = $('#namelast').val();
        var dateofbirth     = $('#dateofbirth').val();
        var rijksregisternr = $('#rijksregisternr').val();
        var email           = $('#email').val();
        var hosid           = <?php echo $this->session->hosid; ?>;


        $.ajaxSetup(
        {
            data:
            {
                nameLast: namelast,
                dateofBirth: dateofbirth,
                rijksregisterNr: rijksregisternr,
                email: email, 
                hosid: hosid
            }
        });

        $('#table_personen').html("");
        $('#search_alert').html("").hide();

        $.post(CFG.url + 'persoon/js_retrieve', function(data)
        {

            if(data['status']   == 200)
            {
                var personenrows        = data['html'];
                $('#table_personen').append (personenrows);

                if (!$('#personen_search_result').is(':visible'))
                    $('#personen_search_result').slideToggle();
            }
            else if (data['status'] == 400)
            {
                var message         = data['html'];
                $('#search_alert').append(message);

                if (!$('#search_alert').is(':visible'))
                    $('#search_alert').slideToggle();
            }
        }, 'json');


    });
});

这是我的控制器：

public function js_retrieve()
{

    // Data preperations

    // Query Builder



    if ($result->num_rows() == 0)
    {

        // No result: error message
        $data['html']       = '<span class="alert">Geen personen gevonden.</span>';
        $data['status']     = 400;
    }
    else
    {

        // Good result, show list in table
        // table header 
        $html               = '<thead class="thead-light"><tr><th>Naam</th>th>Voornaam</th><th>Geboortedatum</th><th>Rijksregister</th><th>status</th></tr><tbody>';

        // create rows
        foreach ($result->result_array() as $row)
        {
            $html           .= 
                '<tr>/\n<td><a href="'. base_url( 'persoon/detail/' .$row['id']  ) .'">' . $row['NameLast'] .', '. $row['NameFirst'] . '</a></td>/\n<td>' . $row['DateofBirth'] . '</td>/\n<td>' . $row['RijksRegisterNumber'] . '</td>/\n<td>' . $row['Status'] . '</td></tr>';
        }

        // close body
        $data['html']       = $html . '</tbody>';

        // status
        $data['status']     = 200;
    }



    // Set CSRF token hash & headers        
    $data['oldtoken']       = $this->input->post('token');
    $data['token']          = $this->security->get_csrf_hash();

    if (!headers_sent())
    {
        header('Cache-Control: no-cache, must-revalidate');
        header('Expires: ' . date('r'));
        header('Content-type: application/json');
    }

    // return result
    exit( json_encode($data , JSON_FORCE_OBJECT) );
}

有人能给我一些指导吗？

PS：这是我的配置：

$config['csrf_token_name'] = 'token';
$config['csrf_cookie_name'] = 'csrf_cookie_name';
$config['csrf_expire'] = 7200;
$config['csrf_regenerate'] = FALSE;
$config['csrf_exclude_uris'] = array();

- Michel Beyaert

---

你能否尝试在你的jQuery请求中添加withCredentials: true标志？应该可以通过该标志进行处理。 - Jasper Seinhorst

如果重新加载页面而没有执行任何AJAX调用，它是否也会要求登录凭据？了解这一点将隔离问题并排除整个AJAX问题。 - Dacklf

奇怪的是$config['csrf_regenerate']=FALSE;选项会禁用在每次提交时重新生成token。但是，要小心使用。这可能会让你容易受到某些类型的攻击。 - Muhammad Omer Aslam

我已经加入了withCredentials:$.ajaxSetup( { data: { token:CFG.token }, xhrFields: { withCredentials:true }, crossDomain: true }); 但问题仍然存在。如果没有ajax请求，我可以安全地重新加载页面而无需重新登录。 - Michel Beyaert

嗯，js_retrieve() 方法中的某些内容可能会破坏您已登录的会话。您可能需要将所有内容注释掉，并逐行重新激活，直到找到罪魁祸首。如果使用 xhrFields：{withCredentials：true} 传递 credentials：'same-origin' 没有解决问题，则可能不是 AJAX 请求的问题。 - Brad

Answer 1

这不仅仅是一个答案，而且是一个太长的故障排除测试，无法在评论中完成。请尝试以下方法：

$this->output->set_header('Cache-Control: no-store, no-cache, must-revalidate');
$this->output->set_content_type('application/json');
$this->output->set_output(json_encode($data, JSON_FORCE_OBJECT));
$this->output->_display();
exit;

- Alex