Symfony 7.2结合Turbo-UX时表单CSRF令牌异常求助

核心原因 #

Turbo Frame加载的表单模板，其CSRF令牌是在原页面渲染时生成的，当从其他页面（比如模态框所在页面）通过Turbo Frame加载这个表单时，令牌会和当前页面的会话不匹配，导致验证失败。

正确解决方法 #

1. 确保表单模板独立生成CSRF令牌 #

修改_form.html.twig，确保表单的CSRF令牌是动态生成的，而非继承自父页面：

{# _form.html.twig #}
<form method="post" {{ form_enctype(form) }}>
    {% if form._token is defined %}
        {{ form_widget(form._token) }}
    {% endif %}
    {{ form_widget(form) }}
    <button type="submit" class="btn">提交</button>
</form>

2. 让Turbo Frame加载独立的表单页面 #

新增专门的路由和模板，让Turbo Frame请求的页面能单独生成CSRF令牌：

• 控制器新增路由方法：

// src/Controller/EntityController.php
#[Route('/entity/form', name: 'app_entity_form')]
public function form(EntityManagerInterface $em): Response
{
    $entity = new Entity();
    $form = $this->createForm(EntityType::class, $entity);
    
    return $this->render('entity/_form_only.html.twig', [
        'form' => $form->createView(),
    ]);
}

• 创建仅含表单的_form_only.html.twig：

{# entity/_form_only.html.twig #}
{{ form_start(form) }}
{{ form_widget(form) }}
<button type="submit">提交</button>
{{ form_end(form) }}

• 模态框的Turbo Frame指向新路由：

<turbo-frame id="entity-form" src="{{ path('app_entity_form') }}">
    <!-- 加载占位内容 -->
</turbo-frame>

3. 用Turbo Stream处理表单提交响应 #

表单提交后返回Turbo Stream更新，保持CSRF上下文一致：
修改控制器的new方法：

// src/Controller/EntityController.php
#[Route('/entity/new', name: 'app_entity_new', methods: ['GET', 'POST'])]
public function new(Request $request, EntityManagerInterface $em): Response
{
    $entity = new Entity();
    $form = $this->createForm(EntityType::class, $entity);
    $form->handleRequest($request);

    if ($form->isSubmitted() && $form->isValid()) {
        $em->persist($entity);
        $em->flush();
        return $this->render('entity/new.success.turbo.html.twig');
    }

    if ($form->isSubmitted()) {
        return $this->render('entity/form.error.turbo.html.twig', [
            'form' => $form->createView(),
        ]);
    }

    return $this->render('entity/new.html.twig', [
        'form' => $form->createView(),
    ]);
}

不推荐的操作说明 #

手动覆盖令牌会破坏CSRF保护的安全性，一旦令牌泄露易被攻击者利用；禁用CSRF保护更是直接暴露安全风险，绝对不可取。

内容的提问来源于stack exchange，提问作者DeadlyToy