CakePHP 3 API 的 POST 请求不起作用

我正在使用 CakePHP 3.x 文档开发 API。为了开发这个 API，我使用了他们的官方文档：https://book.cakephp.org/3.0/en/development/rest.html https://book.cakephp.org/3.0/en/development/rest.html

当我尝试使用 url 上的 GET 请求访问我的 api 时http://localhost/healthcare_portal/eapi/applicants/index.json http://localhost/healthcare_portal/eapi/applicants/index.json，我得到了预期的 json 结果

{
    "applicants": [
        {
            "applicant_id": 1,
            "name": "Manender"
        },
        {
            "applicant_id": 2,
            "name": "mayank"
        }
    ]
}

但是当我使用同一 url 上的 POST 请求访问我的 api 时http://localhost/healthcare_portal/eapi/applicants/index.json http://localhost/healthcare_portal/eapi/applicants/index.json，我收到 CSRF 不匹配令牌错误。在这种情况下 API 的响应是

{
    "message": "Missing CSRF token cookie",
    "url": "/applicants/index.json",
    "code": 403,
    "file": "/opt/lampp/htdocs/healthcare_portal/eapi/vendor/cakephp/cakephp/src/Http/Middleware/CsrfProtectionMiddleware.php",
    "line": 191
}

我尝试过其他替代方案作为添加

 $input = (array) $this->request->input('json_decode', true);

在我的控制器的操作中，但这是我在发布请求时遇到相同的错误。如果有人遇到同样的问题，请帮助我取得突破。

正如中提到的3.6 版本中 post 请求中的 CSRF 令牌不匹配 https://stackoverflow.com/questions/51916680/csrf-token-mismatch-in-post-request-in-3-6-version，默认的应用程序模板最近默认启用了 CSRF 保护中间件，要求 CSRF 令牌和 cookie 与非GET要求。

您的API很可能需要某种形式的身份验证，并且如果身份验证不依赖于cookie，或（HTTP）基本身份验证，或浏览器/客户端将通过HTTP请求自动发送/执行的任何其他形式的身份验证，那么您不需要 CSRF 保护，因为 CSRF 是不可能的。

If you don't需要CSRF保护

如果您确实不需要 API 的 CSRF 保护，那么您可以禁用它，例如通过使用自定义中间件处理程序来检查请求 URL 或路由并有条件地应用 CSRF 中间件，或者通过在路由范围上应用中间件，这样您就可以排除 API 范围，请参阅Cakephp 3.5.6 禁用控制器的 CSRF 中间件 https://stackoverflow.com/questions/47714940/cakephp-3-5-6-disable-csrf-middleware-for-controller/47718018#47718018.

If you do需要CSRF保护

如果您的 API 使用某种形式的身份验证is容易出现 CSRF，那么您应该找到一种提供 cookie 的方法（中间件会自动将 cookie 设置为GET请求）和 CSRF 令牌（它们在请求对象上可用，例如$request->getParam('_csrfToken')）给您的客户，以便他们可以将其与请求一起发送。

See also

• Cookbook > 中间件 > 跨站请求伪造 (CSRF) 中间件 https://book.cakephp.org/3.0/en/controllers/middleware.html#cross-site-request-forgery-csrf-middleware
• https://security.stackexchange.com/questions/166724/should-i-use-csrf-protection-on-rest-api-endpoints https://security.stackexchange.com/questions/166724/should-i-use-csrf-protection-on-rest-api-endpoints