Slim3框架REST API跨域POST请求CSRF校验失败问题排查

嘿，我来帮你分析下这个问题——你遇到的核心矛盾是跨域场景下Slim3的CSRF Guard依赖Session，但浏览器默认不会在跨域AJAX请求中携带Session Cookie，导致你GET获取Token时的Session和POST验证时的Session不是同一个，自然校验失败。下面是具体的解决方案，一步步来：

1. 先配置CORS中间件，允许跨域携带凭证 #

首先要在Slim中添加CORS中间件，明确允许你的前端域名发起请求，并且允许携带凭证（这是关键）：

$app->add(function ($request, $response, $next) {
    // 替换成你的前端实际域名，不能用*，否则无法携带凭证
    $allowedOrigin = 'https://your-frontend-domain.com';
    $response = $response->withHeader('Access-Control-Allow-Origin', $allowedOrigin);
    $response = $response->withHeader('Access-Control-Allow-Headers', 'X-Requested-With, Content-Type, Accept, Origin');
    $response = $response->withHeader('Access-Control-Allow-Methods', 'GET, POST, OPTIONS');
    // 必须开启这个，浏览器才会携带Session Cookie
    $response = $response->withHeader('Access-Control-Allow-Credentials', 'true');

    // 处理OPTIONS预检请求，直接返回200
    if ($request->getMethod() === 'OPTIONS') {
        return $response->withStatus(200);
    }

    return $next($request, $response);
});

2. 修改AJAX请求，开启凭证携带 #

你的jQuery AJAX需要添加xhrFields: { withCredentials: true }，让浏览器在跨域请求中带上Session Cookie：

GET获取Token的AJAX修改： #

$.get("https://extranet.exemple.fr/api/token", {}, function(data, text, jqxhr) {
    if (data.success === true) {
        $("#csrf_name").val(data.csrf.csrf_name);
        $("#csrf_value").val(data.csrf.csrf_value);
    }
}, 'json')
.fail(function(jqxhr) {})
.always(function() {})
.xhrFields({
    withCredentials: true
});

POST请求的AJAX修改： #

这里要注意一个关键错误：Slim的CSRF Guard期望POST参数的key是你获取到的csrf_name值，value是csrf_value值，而不是把csrf_name和csrf_value作为两个单独参数传递。修改后的代码如下：

var csrfKey = $("#csrf_name").val();
var csrfValue = $("#csrf_value").val();
var objajaxargs = {
    dataUser: dataUser,
};
// 把CSRF的键值对直接放到参数里，key用获取到的csrf_name
objajaxargs[csrfKey] = csrfValue;

$.post("https://extranet.exemple.fr/user/add", objajaxargs)
.done(function(data, text, jqxhr) {
    if (data.success === true) {
        alert("success");
    }
})
.fail(function(jqxhr) {})
.always(function() {})
.xhrFields({
    withCredentials: true
});

3. 确保Session和CSRF Guard配置正确 #

先确认你的Slim应用已经初始化了Session中间件，否则CSRF Token无法绑定到Session：

$app->add(new \Slim\Middleware\Session([
    'name' => 'slim_session',
    'autorefresh' => true,
    'lifetime' => 3600, // 1小时有效期
]));

CSRF Guard的配置可以保持默认，也可以调整有效期：

$container["csrf"] = function ($container) {
    $guard = new \Slim\Csrf\Guard();
    $guard->setTokenExpiry(3600); // 设置Token有效期1小时
    return $guard;
};

4. 验证参数传递是否正确（可选调试步骤） #

在POST路由里临时打印请求参数，确认CSRF Token是否正确传递：

$app->post("/user/add", function (\Slim\Http\Request $request, \Slim\Http\Response $response, $args) use ($app) {
    $objBody = $request->getParsedBody();
    // 打印参数到日志，确认是否包含正确的CSRF键值对
    error_log(print_r($objBody, true));
    
    // 你的原有业务代码...
});

按照这几步调整后，跨域AJAX请求应该就能通过CSRF校验了——核心就是让跨域请求共享同一个Session，并且按照Slim期望的格式传递Token。

内容的提问来源于stack exchange，提问作者Anthony Graule