CSRF 令牌无效。请尝试重新提交表单答案

【问题标题】：The CSRF token is invalid. Please try to resubmit the formCSRF 令牌无效。请尝试重新提交表单
【发布时间】：2014-06-20 18:28:06
【问题描述】：

每次我尝试提交表单时都会收到此错误消息：

CSRF 令牌无效。请尝试重新提交表单

我的表单代码是这样的：

<form novalidate action="{{path('signup_index')}}" method="post" {{form_enctype(form)}} role="form" class="form-horizontal">
    <div class="form-group">
        {{ form_label(form.email, 'Email', {'label_attr': {'class': 'col-md-1 control-label'}}) }}
        {{ form_widget(form.email, {'attr': {'class': 'col-md-2'}}) }}
        {{ form_errors(form.email) }}
    </div>

    <div class="form-group">
        {{ form_label(form.nickname, 'Nickname', {'label_attr': {'class': 'col-md-1 control-label'}}) }}
        {{ form_widget(form.nickname, {'attr':{'class': 'col-md-2'}}) }}
        {{ form_errors(form.nickname, {'attr': {'class': 'col-md-3'}}) }}
    </div>
    <div class="form-group">
        {{ form_label(form.password, 'password', {'label_attr': {'class': 'col-md-1 control-label'}}) }}
        {{ form_widget(form.password, {'attr': {'class': 'col-md-2'}}) }}
        {{ form_errors(form.password, {'attr': {'class': 'col-md-3'}}) }}
    </div>

    <div class="form-group">
        {{ form_label(form.password_repeat, 'Repeat password', {'label_attr': {'class': 'col-md-1 control-label'}}) }}
        {{ form_widget(form.password_repeat, {'attr':{'class': 'col-md-2'}}) }}
        {{ form_errors(form.password_repeat, {'attr': {'class': 'col-md-3'}}) }}
    </div>
    <div class="form-group">
        <div class="col-md-1 control-label">
        <input type="submit" value="submit">
    </div>

    </div>
</form>

有什么想法吗？

【问题讨论】：

@MKhalidJunaid 你为什么要保护这个？

标签： php symfony twig

【解决方案1】：

您需要在表单中添加_token，即

{{ form_row(form._token) }}

到目前为止，您的表单缺少 CSRF 令牌字段。如果您使用 twig 表单函数来呈现您的表单，例如 form(form)，这将自动为您呈现 CSRF 令牌字段，但您的代码显示您正在使用原始 HTML 呈现表单，例如 <form></form>，因此您必须手动呈现字段。

或者，只需在表单的结束标记前添加{{ form_rest(form) }}。

根据文档

这会渲染给定的所有尚未渲染的字段形式。始终将其放在表单中的某个地方是个好主意因为它会为您呈现隐藏字段并制作您忘记的任何字段渲染得更明显（因为它会为您渲染该字段）。

form_rest(view, variables)

【讨论】：

{{ form_rest(form) }} 对我来说是最好的。谢谢，+1
@M Khalid Junaid 我有一个文件，并通过 symfony 表单组件呈现它。在树枝中获取令牌并在控制器中获取令牌值，但是总是得到相同的错误。
谢谢，在我的情况下，我有{{ form_end(form, {'render_rest': false}) }}，我之前为一些测试设置过。现在我把它改成普通的{{ form_end(form) }}，它工作了。
如果您看到这篇文章，请记住该文档不包含此信息。我已经创建了 1 个 PR 来添加它，但我不知道我还能做些什么来帮助其他人，问候。 github.com/symfony/symfony-docs/pull/16321

【解决方案2】：

当您的表单有很多元素时，您也会看到此错误消息。

php.ini 中这个选项导致问题的原因

; How many GET/POST/COOKIE input variables may be accepted
 max_input_vars = 1000

问题是_token字段错过了PUT（GET）请求，所以你必须增加值。

另外，它涉及一个大文件。增加

upload_max_filesize

选项会解决问题。

【讨论】：

在我的例子中是 post_max_size + upload_max_filesize
我只在提交包含大量元素的表单时遇到问题。 将 max_input_vars 设置为更大的数字也为我修复了它。当您考虑它时，它是有道理的 - CSRF 令牌通常是呈现和发送的最后一个表单元素。当您有太多元素时“从请求中截断更多输入变量。”。所以 CSRF 令牌在到达 Symfony 时就已经丢失了。（来源：php.net/manual/en/info.configuration.php#ini.max-input-vars）。
在调试了这个 csrf 错误 4 小时后，我在这里找到了答案。我的表格太大，没有发送 csrf。谢谢
在我的例子中，表单本身看起来并不是很大，但是有一个关系字段，有 100 个关系。

【解决方案3】：

这是因为表单默认包含 CSRF 保护，在某些情况下这不是必需的。

您可以在getDefaultOptions 方法中的表单类中禁用此 CSRF 保护，如下所示：

// Other methods omitted

public function getDefaultOptions(array $options)
{
    return array(
        'csrf_protection' => false,
        // Rest of options omitted
    );
}

如果您不想禁用 CSRF 保护，则需要在表单中呈现 CSRF 保护字段。可以通过在视图文件中使用{{ form_rest(form) }} 来完成，如下所示：

<form novalidate action="{{path('signup_index')}}" method="post" {{form_enctype(form)}} role="form" class="form-horizontal">
    <!-- Code omitted -->

    <div class="form-group">
        <div class="col-md-1 control-label">
            <input type="submit" value="submit">
        </div>

    </div>
    {{ form_rest(form) }}
</form>

{{ form_rest(form) }} 会呈现您未手动输入的所有字段。

【讨论】：

“不必要”可能没问题，但有什么好的理由不保护每一个表格吗？
@NicoHaase 是的，如果您构建无状态 API。您仍然可以使用 symfony 表单进行验证，并且不需要 CSRF 保护security.stackexchange.com/questions/166724/…

【解决方案4】：

在你的</form> 标签之前：

{{ form_rest(form) }}

它会自动插入其他重要的（隐藏的）输入。

【讨论】：

【解决方案5】：

我遇到了一个奇怪的问题：清除浏览器缓存并没有解决问题，但清除 cookie（即 PHP 会话 ID cookie）确实解决了这个问题。

这必须在您检查了所有其他答案后完成，包括验证您确实在隐藏的表单输入字段中拥有令牌。

【讨论】：

【解决方案6】：

除了其他人的建议之外，如果您的会话存储不工作，您可能会收到 CSRF 令牌错误。

在最近的一个案例中，我的一位同事将 'session_prefix' 更改为一个包含空格的值。

session_prefix: 'My Website'

这破坏了会话存储，这反过来意味着我的表单无法从会话中获取 CSRF 令牌。

【讨论】：

一个相关的陷阱使您的控制器中的会话无效。

【解决方案7】：

如果您已将表单从纯 HTML 转换为 twig，请确保您没有错过删除结束 </form> 标记。愚蠢的错误，但我发现这可能是导致此问题的原因。

当我收到这个错误时，一开始我无法弄清楚。我使用form_start() 和form_end() 来生成表单，所以我不应该用form_row(form._token) 显式添加令牌，或者使用form_rest() 来获取它。 It should have already been added automatically by form_end().

问题是，我正在使用的视图是我从纯 HTML 转换为 twig 的视图，我错过了删除结束 </form> 标记，所以不是：

{{ form_end(form) }}

我有：

</form>
{{ form_end(form) }}

这实际上看起来可能会引发错误，但显然不会，所以当form_end() 输出form_rest() 时，表单已经关闭。表单实际生成的页面源是这样的：

<form>
    <!-- all my form fields... -->
</form>
<input type="hidden" id="item__token" name="item[_token]" value="SQAOs1xIAL8REI0evGMjOsatLbo6uDzqBjVFfyD0PE4" />
</form>

显然解决方案是删除多余的结束标签，然后再喝点咖啡。

【讨论】：

【解决方案8】：

我最近遇到了这个错误。原来我的 cookie 设置在 config.yml 中不正确。将cookie_path 和cookie_domain 设置添加到framework.session 修复了它。

【讨论】：

【解决方案9】：

我最近也遇到了同样的问题，我的情况在这里还没有提到：

问题是我在localhost 域上测试它。我不确定这到底是为什么，但在我将localhost 的主机名别名添加到/etc/hosts 之后，它就开始起作用了：

127.0.0.1        foobar

在使用 Apache 和 localhost 作为域时，会话可能有问题。如果有人可以在 cmets 中详细说明，我很乐意编辑此答案以包含更多详细信息。

【讨论】：

【解决方案10】：

如果您不想使用 form_row 或 form_rest 并且只想访问 _token 在您的 twig 模板中的值。使用以下内容：

<input type="hidden" name="form[_token]" value="{{ form._token.vars.value }}" />

【讨论】：

如果您这样做，请确保始终调用 {% do form._token.setRendered %} 否则如果您在某处有 form_rest 调用，您可能会得到两个令牌输入字段

【解决方案11】：

在我的例子中，我遇到了实体中的 maxSize 注释，因此我将它从 2048 增加到 20048。

 /**
 * @Assert\File(
 *     maxSize = "20048k",
 *     mimeTypes = {"application/pdf", "application/x-pdf"},
 *     mimeTypesMessage = "Please upload a valid PDF"
 * )
 */
private $file;

希望这个答案有帮助！

【讨论】：

【解决方案12】：

我遇到了类似的问题。在确保实际呈现了令牌字段（请参阅接受的答案）后，我检查了我的 cookie。我的 Chrome 浏览器中的域有 2(!) 个 cookie，显然是因为我在与另一个应用程序相同的域上运行该应用程序，但使用不同的端口（即 mydomain.com 在有问题的应用程序运行时设置原始 cookie在 mydomain.com:123) 现在显然 Chrome 发送了错误的 cookie，因此 CSRF 保护无法将令牌链接到正确的会话。

修复：清除相关域的所有 cookie，确保您不在同一个域上使用不同端口运行多个应用程序。

【讨论】：

【解决方案13】：

我遇到了同样的错误，但在我的情况下，问题是我的应用程序使用了多个一级域，而 cookie 使用了一个。从config.yml 中的framework.session 中删除cookie_domain: ".%domain%" 会导致cookie 默认为表单所在的任何域，从而解决了问题。

【讨论】：

【解决方案14】：

你需要记住 CSRF 令牌是存储在 session 中的，所以这个问题也可能是由于无效的 session 处理而发生的。如果您在本地主机上工作，请检查例如如果会话 cookie 域设置正确（在 PHP 中，在本地主机上应该为空）。

【讨论】：

【解决方案15】：

这似乎是使用引导程序时的一个问题，除非您通过 {{ form(form)}} 呈现表单。此外，问题似乎只发生在输入类型=“隐藏”上。如果您使用表单检查页面，您会发现隐藏的输入根本不是标记的一部分，或者它正在呈现但由于某种原因未提交。如上所述，添加 {{form_rest(form)}} 或像下面这样包装输入应该可以解决问题。

<div class="form-group">
    <input type="hidden" name="_csrf_token" value="{{ csrf_token('authenticate') }}">
</div>

【讨论】：