FuelPHPでAJAXのCSR対策のメモです。忘れちゃうので。

ViewでTOKENを呼び出す→POSTでTOKENを送るようにする

・js_fetch_tokenの呼び出し

<?php echo Security::js_fetch_token();?> 

・AJAXを作る

function save() 
{
    $.ajax({
        type:'post',
        url: "送信先URL",
        cache: false,
        data: { 
          fuel_csrf_token: fuel_csrf_token()
        },
        statusCode: { 
                404: function(){
                }
        },
    }).done(function(data, textStatus, jqXHR){

//結果を受けたった処理        

    }).fail(function(data, textStatus, errorThrown){
//送信失敗した時の処理

    });   

}

※「fuel_csrf_token」は、Configの「csrf_token_key」を変更している場合は、変更した名前を呼び出すようにする。

例：Config::get(‘security.csrf_token_key’);

・PHP側処理

if (Security::check_token()) {
//成功したときの処理
}

こんな感じで処理が可能。

FuelPHPのバリデーションって便利で基本的に利用しています。その中で、自動的にルールをがつがつ追加するプログラムを作っていたのですが一部に限って例外が発生して、追加したルールを削除しなければならないということが発生しました。

削除ってあるのかなってバリデーション定義を除いていたところ、「delete_rule」なるものを発見！！FuelPHP 1.7のドキュメントにはありませんでしたが、探していたらFuelPHP 1.8のドキュメントに記載がありました。

↓記述方法は下記のようになるとこと。FuelPHP1.8のドキュメントはこちら

// フィールドから valid_string ルールを取り除く
$fieldset->field('fieldname')->delete_rule('valid_string');

// そして、必須項目の指定を取り除く
$message = $fieldset->field('fieldname')->delete_rule('required', true);

※FuelPHP1.8のドキュメントから抜粋

requiredの項目を取り除くときは「true」も必要とのこと。

FuelPHPでビューにHTMLデータをそのまま渡したい時のメモ

■コントローラー側の設定

$this->template->content = \View::forge('index', $data);
$this->template->content->set_safe('html_data', $data['html_data']);

$this->template->contentでいつも通りVIEWのコンテンツを設定したのちにset_safeで生データ渡しの値をセットする。

FuelPHPのタスク処理時に環境モードを指定して実行するには戦闘に「FUEL_ENV=production」と指定しておけばおけー。

# FUEL_ENV=production php ./pro/oil refine robots



                                        "KILL ALL HUMANS!"
                                  _____     /
                                 /_____\
                            ____[\*---*/]____
                           /\ #\ \_____/ /# /\
                          /  \# \_.---._/ #/  \
                         /   /|\  |   |  /|\   \
                        /___/ | | |   | | | \___\
                        |  |  | | |---| | |  |  |
                        |__|  \_| |_#_| |_/  |__|
                        //\\  <\ _//^\\_ />  //\\
                        \||/  |\//// \\\\/|  \||/
                              |   |   |   |
                              |---|   |---|
                              |---|   |---|
                              |   |   |   |
                              |___|   |___|
                              /   \   /   \
                             |_____| |_____|
                             |HHHHH| |HHHHH|

■GMAIL以外

FuelPHPでSMTPサーバーを利用してメールを送信しようとしたら下記の個所の設定でハマって送信できませんでした。

（元）

'newline' => "\n",

（修正）

'newline' => "\r\n",

新しい行の設定でエラーが発生していた。

‘driver’ => ‘mail’でも’driver’ => ‘smtp’でも「newline」は修正した内容で問題ないみたい

■GMAILの場合

セキュリティ設定を下記のURLを参考に行う。

https://support.google.com/a/answer/6260879?hl=ja

FuelphpでCSRF対策していると

下記のように記載すると対策できますが、

if(Security::check_token()){
    //正しいポストのときの処理
}else{
    //不正なポストのときの処理
}

なぜか、今まで動いていたのに動かない事象が発生したのでメモとして残しておきます。

ヘッダーで、Scriptやlinkでなんだかんだ読み込みをしているかと思います。

これのどこかが影響しているっぽいのでヘッダーを疑うべし。

chromeの検証ツールでみたいたところ、どうも同じURLに対してGETだけをリクエストするのが通常の動作だったのですが、GETの前にHEADでリクエストしている動きを発見。

ファイルアップロードのjavascriptでHEADでアクセスしている箇所があったのでこれが影響。

原因は判明したがもっとセキュリティについても勉強しなくては。

Fuelphp自身がワンタイムトークンを利用している点も考慮しないとな。