在 MVC 应用程序中，我应该在哪里生成 CSRF 表单令牌和验证码？

Question

给定：

我创建了Hash 和Captcha 类。 Hash 创建表单标记。 Captcha 使用 Graphics 类来创建图像。自定义会话服务包装类用于处理$_SESSION 超全局数据结构。

场景：

我使用依赖注入容器。因此，我想知道在哪里为可公开访问的 HTML 表单定义 Captcha 和 Hash 的实例化。

假设 1： 您应该将 Hash 和 Captcha 注入到 Model 的子代中，因为访问 $_SESSION 需要存储（根据 HTTP 请求）和验证（根据 HTTP响应）CSRF 令牌和验证码答案。视图不应该访问会话数据结构。

假设 2： 您应该将 Hash 和 Captcha 注入到 View 的子代中，因为生成 CSRF 令牌和验证码实际上是 View 的 表示逻辑的一部分，即使它们的验证发生在Model 中。允许从 View 直接或间接访问会话数据结构。

第一个假设似乎是答案，但我想确定一下。

抽象例子：

$session = new Session(); // A custom wrapper class
$hash = new Hash();
$graphics = new Graphics();
$captcha = new Captcha($graphics);


$model = new ContactModel($session, $hash, $captcha);

或

$view = new ContactView($session, $hash, $captcha);

Answer 1

_{注意#1：我认为你应该通读this post。我将强调这个答案的核心部分：“模型不是一个类或任何单个对象”}

_{注意 #2： IMO 这个问题是 Web MVC 实现固有的问题。第一部分是我将如何解决这个问题；下面从概念上描述为什么会出现这个问题。}

我的回答是：都不是。

MVC架构分为2层：model层和presentation层。服务对象（这些位于模型层中）应将相关的验证码信息实例化/保存到客户端状态。由于这很可能是一个 Web 应用程序，因此表示层（特别是视图对象）将需要从模型层请求此客户端状态。这是否通过服务对象或专门为客户端状态响应量身定制的特定于表示的数据访问对象发生取决于您的实现和最适合。在这里，在视图中，我将通过另一个数据访问对象或(Cookie/Session)Response abstraction* 将客户端状态保存到会话中。通过这种方式，视图不会“访问”会话数据结构，而是利用一个组件（表示层 DAO 或(Cookie/Session)Response抽象*）来完成这项工作。虽然我们不认为 cookie/sessions 是一种表现形式（“它们不是可视的”），表现层负责响应，cookies/sessions 就是这样。

我很难具体推测这将如何在您的框架中进行，因为似乎存在模型层的合并。您的 ContactModel 肯定希望哈希/验证码来保存客户端状态。您的视图不需要这些，但需要一个额外的机制来以 cookie/会话的形式“响应”客户端状态对 HTTP 请求。

_{* Symfony 通常对此很有帮助。我同时使用了表示层 DAO 和 Symfony HttpFoundation 对象，这可能是多余的。}

概念上：会话作为状态与响应

您在这里解决的基本问题是特定于 Web MVC 实现的。 Web MVC 中的表示层处理“请求”（委托给控制器）​​并呈现“响应”（由视图决定）。在 HTTP 中，cookie 和会话随请求一起发送并在响应中更改。这嵌入在 HTTP 请求/响应性质中。

如果我们将会话/cookie 保存在模型层中，我们将使模型层依赖于 HTTP，并允许它“响应”请求。即使我们抽象了超全局变量和“注入”抽象（如 Symfony cookie/会话对象），也存在对请求/响应实现的 cookie/会话的内在依赖。您可以在模型层中完成这一切，但我不想这样做。换句话说，虽然模型 负责跟踪状态，但 cookie/会话状态实际上是对请求的响应。

“但这是有漏洞的逻辑，因为你在表示层中保存状态”

我认为您可以将所有方法都视为有些“漏洞”，这只是最具凝聚力的方法。如果您将 cookie/会话视为状态，那么我们肯定会在表示层中“保存”状态。如果您将它们视为响应，它们确实在 MVC 眼中，那么这根本不是泄漏的。我认为在模型层发送响应（保存会话/cookie 状态）更糟糕。

Answer 2

答案：您应该在“模型”中生成 CSRF 令牌和 CAPTCHA 值。

原因：这些值的目的是作为对您的业务逻辑的约束，而不仅仅是在“视图”中显示值或控件。如果“视图”生成表单令牌和验证码挑战值，则必须将它们传回“模型”（一种或另一种方式）。这不合时宜。

虽然假设二是可行的，但它赋予 View 的职责是它没有完全完成。具体来说，View 永远不会负责验证表单令牌或 CAPTCHA 答案。

视图可以以虚拟方式将表单标记和 CAPTCHA 质询插入 HTML 表单模板（例如）。这是真的，但是现在“视图”将负责将答案保存到某种持久存储中，而“模型”只会检索和验证它们。

因此，会话存储就像“视图”和“模型”之间的后台通道，因此将它们耦合（即使使用某种会话服务包装器）。 “视图”不应该通过“模型”传递数据，但如果允许“视图”生成表单标记和 CAPTCHA 答案值，这实际上就是发生的情况。

这就是我的答案。欢迎大家批评指正。