Symfony重复登出触发“Invalid CSRF token”问题及解决方案咨询

能不能移除登出方法的CSRF中间件？ #

理论上可以通过删除security.yaml中登出配置里的csrf_parameter和csrf_token_generator两行来禁用CSRF验证，但强烈不推荐这么做。CSRF防护是为了防止恶意网站通过诱导用户点击链接/提交表单，未经用户操作就触发登出请求，移除后会带来账号安全风险，影响用户体验。

更优的解决办法 #

推荐从前端拦截、后端校验或访问控制三个维度解决，既保留CSRF安全，又避免重复登出的错误：

• 前端仅在登录状态下显示登出按钮
  在模板中判断用户是否已认证，只对登录用户展示登出入口，从根源避免未登录用户触发登出请求。以Twig模板为例：

  {% if is_granted('IS_AUTHENTICATED_FULLY') %}
      <form method="post" action="{{ path('logout') }}">
          <input type="hidden" name="token" value="{{ csrf_token('logout') }}">
          <button type="submit">登出</button>
      </form>
  {% endif %}
  

• 自定义登出处理器，提前校验登录状态
  创建一个自定义LogoutHandler，在执行登出逻辑前先检查用户是否处于登录状态，若未登录则直接跳转到目标页面，跳过CSRF验证：

  1. 创建处理器类：

  // src/Security/CustomLogoutHandler.php
  namespace App\Security;
  
  use Symfony\Component\HttpFoundation\Request;
  use Symfony\Component\HttpFoundation\Response;
  use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  use Symfony\Component\Security\Http\Logout\LogoutHandlerInterface;
  
  class CustomLogoutHandler implements LogoutHandlerInterface
  {
      public function logout(Request $request, Response $response, TokenInterface $token = null)
      {
          if (!$token || !$token->getUser()) {
              $response->headers->set('Location', '/login');
              $response->setStatusCode(Response::HTTP_FOUND);
          }
      }
  }
  

  2. 在security.yaml中配置这个处理器：

  # config/packages/security.yaml
  security:
      firewalls:
          main:
              # ...其他防火墙配置
              logout:
                  path: logout
                  target: /login
                  csrf_parameter: token
                  csrf_token_generator: security.csrf.token_manager
                  handlers: [App\Security\CustomLogoutHandler]
  

• 限制登出路径的访问权限
  在security.yaml的access_control中添加规则，仅允许已认证用户访问登出路径，未登录用户访问时会直接被重定向到登录页：

  # config/packages/security.yaml
  security:
      access_control:
          - { path: ^/logout, roles: ROLE_USER }
          # ...其他访问控制规则
  

内容的提问来源于stack exchange，提问作者XxX