Cakephp - CSRF 令牌不匹配

我在 Cakephp 3.6 中有一个项目，其中 MessageController 中的 3 个操作由 Ajax 调用。但是，我有一个问题，当我向其中一个操作发送请求时，XHR 会向我返回以下内容：

{
   "message": "CSRF token mismatch.",
   "url": "\/messages\/changepriority\/8",
   "code": 403,
   "file": "D:\\xampp\\htdocs\\myapp\\vendor\\cakephp\\cakephp\\src\\Http\\Middleware\\CsrfProtectionMiddleware.php",
"line": 195
}

这是我尝试从 Ajax 调用的操作之一：

public function changepriority($id=null) 
{
    $this->autoRender = false;
    $message = $this->Messages->get($id);
    $message->priority = ($message->priority === false) ? true : false;
    if ($this->Messages->save($message)) {
        echo json_encode($message);
    }
}

这是我的ajax：

$(".email-star").click(function(){
        var idmessage = this.id;
        $.ajax({
        headers : {
              'X-CSRF-Token': $('[name="_csrfToken"]').val()
           },
         dataType: "json",
         type: "POST",
         evalScripts: true,
         async:true,
         url: '<?php echo Router::url(array('controller'=>'Messages','action'=>'changepriority'));?>' +'/'+idmessage,
         success: function(data){
            if(data['priority'] === false) {
                $("#imp_" + idmessage).removeClass("fas").removeClass('full-star').addClass( "far" );
            }
            else {
                $("#imp_" + idmessage).removeClass("far").addClass( "fas" ).addClass("full-star");
            }
          }
         });
    });

我已阅读有关跨站点请求伪造的文档，并且我尝试首先使用以下命令关闭这些操作的 Csrf：

public function beforeFilter(Event $event)
{
     $this->getEventManager()->off($this->Csrf);
}

然后：

public function beforeFilter(Event $event)
{
     $this->Security->setConfig('unlockedActions', ['index', 'changepriority']);
}

但什么也没有。 Xhr 始终返回 CSRF 令牌不匹配。 我能做些什么 ？

Edit:

我这样改变动作：

    public function changepriority($id=null) 
{
    $this->autoRender = false;
    $message = $this->Messages->get($id);
    $message->priority = ($message->priority === false) ? true : false;
    if ($this->Messages->save($message)) {
        $content = json_encode($message);
        $this->response->getBody()->write($content);
        $this->response = $this->response->withType('json');
        return $this->response;
    }
}

这样，行动就发挥作用了。可以这样吗？

首先检查您的$('[name="_csrfToken"]').val()输出。

如果没有得到任何输出，需要检查csrfToken隐藏字段是否存在。只需右键单击您的页面，然后单击View Page Source

如果不存在，则说明您在创建表单时没有遵循正确的方法。基本上，当使用以下命令创建表单时Cake\View\Helper\FormHelper，添加一个包含 CSRF 令牌的隐藏字段。

如果一切正确，请在 ajax 调用中添加以下行header

beforeSend: function (xhr) {
    xhr.setRequestHeader('X-CSRF-Token', $('[name="_csrfToken"]').val());
},

诗。 cakePHP 不建议禁用 CSRF，并且大多数开发人员都意识到这一点。希望这有帮助。