如何在CakePHP中为每个AJAX请求动态添加CSRF Token

这个问题很典型——CakePHP的CSRF验证默认依赖请求里的Token值，有表单的页面会自动插入_csrfToken隐藏字段，所以AJAX能拿到；但无表单页面没有这个字段，自然就获取不到Token，导致验证失败。下面给你几个实用的解决思路：

方案1：在全局布局中添加CSRF Token的Meta标签 #

这是最直接的方法，让所有页面都能通过Meta标签拿到Token，不管有没有表单。

1. 打开你的全局布局文件（比如src/Template/Layout/default.ctp），在<head>标签里添加一行：

<meta name="csrf-token" content="<?= $this->request->getParam('_csrfToken') ?>">

CakePHP会自动把当前请求的CSRF Token填充到这个Meta标签里。

2. 修改你的AJAX代码，把获取Token的方式改成读取Meta标签：

function getModalData () {
    $.ajax({
        type: "POST",
        url: "/function/Data",
        headers: {
            'X-CSRF-Token': $('meta[name="csrf-token"]').attr('content')
        },
        dataType: "json",
        success: function(data) {
            console.log('success')
        },
        error: function() {
            alert('Error');
        }
    });
}

这样不管页面有没有表单，都能正确获取到Token了。

方案2：配置CsrfComponent自动使用Cookie存储Token #

这个方案更省心，让CakePHP把CSRF Token存在Cookie里，请求时自动从Cookie读取验证，不需要手动在AJAX里设置请求头。

1. 打开src/Controller/AppController.php，在initialize()方法里修改CsrfComponent的配置：

public function initialize()
{
    parent::initialize();
    // 其他组件加载代码...
    $this->loadComponent('Csrf', [
        'setCookie' => true // 开启Cookie存储Token
    ]);
}

开启这个选项后，CakePHP会把Token写入名为csrfToken的Cookie中，并且在验证时优先检查Cookie里的Token。

2. 此时你可以简化AJAX代码，去掉手动设置X-CSRF-Token请求头的部分，因为jQuery默认会自动带上Cookie，CakePHP会自动完成验证：

function getModalData () {
    $.ajax({
        type: "POST",
        url: "/function/Data",
        dataType: "json",
        success: function(data) {
            console.log('success')
        },
        error: function() {
            alert('Error');
        }
    });
}

为什么不推荐动态生成Token？ #

你提到的“每次调用AJAX前生成Token”其实没必要，因为CakePHP的CSRF Token是和当前会话绑定的，同一个会话里Token不会频繁变化。额外写接口生成Token反而会增加请求开销，不如上面两种方案高效。

内容的提问来源于stack exchange，提问作者Fokrule