いわゆるCSRF対策のメモです。

Webでのデータ登録には
入力　→　確認　→　完了　という３つのフェーズで行うのが一般的です。

中でも最後の「完了」でデータ登録を行うことが多いため、
このページでリロードを行われると重複登録になったり、
前２フェーズを飛ばして不正なフォームをPOSTしてくるなどの
対策をする必要があります。

今まではセッションを使うなどして自前でコードを書く必要がありましたが、
FuelPHPでは Securityクラスを使うことで簡単に行えます。

確認画面のフォーム部分に下記を追加します。

echo Form::hidden( Config::get('security.csrf_token_key'), Security::fetch_token() );

下記のような隠し項目が書き出されます。

<input name="fuel_csrf_token" value="8af49a49ef926ca20fb713542c258fb4" type="hidden" id="form_fuel_csrf_token" />

そして登録を行うコントローラーで下記のように振り分けます。

if( !Security::check_token() ){
  // エラー表示
}else{
  // 正常なデータ登録
}

下記のサイトでは様々なセキュリティ対策について書かれてます。

• FuelPHP でのセキュリティ対策(1) - A Day in Serenity @ Kenji
• FuelPHP でのセキュリティ対策(2) - A Day in Serenity @ Kenji
• FuelPHP でのセキュリティ対策(3) - A Day in Serenity @ Kenji

CSRF対策についてはこちらの記事が良いかもしれません。

• [FuelPHP]画面リロードや不正なフォーム登録を防ぐ

PHPには標準で $_SESSIONが用意されていますが、FuelPHPにもセッション管理用に
Sessionクラスが用意されています。

セッションの書き込みには Session::set() を使います。
名前と内容のペアを渡すだけなので簡単です。

Session::set( 'name', 'hogehoge' );
Session::set( 'characters', array( 'haruka', 'chihaya', 'miki', 'yayoi' ) );

2行目のように、オブジェクトを渡すこともできます。
連想配列や、多次元配列でも可能です。

取り出すには Session::get() を使います。

$name = Session::get( 'name' );
$characters = Session::get( 'characters' );
$all_sessions = Session::get();
$nodata = Session::get( 'no_exists', 'hogehoge' );

3行目：引数がない場合は全てのセッションデータを取得する。
4行目：セッションが存在しない場合の初期値を指定。

削除は Session::delete( 'name' ); という感じで行います。

一度きりのセッション

set_flash()、get_flash()
というメソッドもあります。
set() で作ったセッションはしばらく残りますが、
set_flash() で作ったものは一度使うと消えるようです。

Session::set_flash( 'name', 'azunyan' );
$name = Session::get_flash( 'name' );
Session::delete_flash( 'name' );

set()、get()、delete()と使い方は同じですね。

セッションをファイルに保存する

今回はこちらの記事を参考にさせていただきました。
というかほぼそのままです。

• Fuelphp、セッションをファイルやDBへ切り替える

初期状態ではセッション情報をクッキーに保存しているので、ファイルに書き出すようにします。

fuel/core/config/session.php を fuel/app/config/session.php にコピーします。
エディタで下記のように編集します。

'driver'  => 'file',

ファイルの保存場所が「/tmp」になっていますが、自分は Windows環境でテストしたいので
FuelPHP管理下のフォルダに作ることにします。

'file'              => array(
  'cookie_name'     => 'fuelfid',
  'path'            => APPPATH.'/tmp',
  'gc_probability'  => 5
),

セッションをDBに保存する

設定ファイル session.php の下記部分を「db」に修正します。

'driver'  => 'db',

dbにセッション専用のテーブルを作成します。
下記SQLで作成できるようです。

CREATE TABLE IF NOT EXISTS `sessions` (
`session_id` varchar(40) NOT NULL,
`previous_id` varchar(40) NOT NULL,
`user_agent` text NOT NULL,
`ip_hash` char(32) NOT NULL DEFAULT '',
`created` int(10) unsigned NOT NULL DEFAULT '0',
`updated` int(10) unsigned NOT NULL DEFAULT '0',
`payload` longtext NOT NULL,
PRIMARY KEY (`session_id`),
UNIQUE KEY `PREVIOUS` (`previous_id`)
) ENGINE=INNODB DEFAULT CHARSET=utf8;

ドキュメントによるとメモリキャッシュに書き出すこともできるみたいですね

• Session Config - Classes - FuelPHP Documentation

前回の日記「[FuelPHP]フォームのバリデーションとカスタムメッセージ」の続きで
自分ルールのバリデーションを作るメモです。

fuel/app/classes/myvalidation.php に記述します。

名前：no_same_chara
ルール：
「chara1」「chara2」「chara3」３つのフィールドに重複があれば false。
ただし内容が「chara_none」なら除外する。

<?php
class MyValidation
{
  public static function _validation_no_same_chara($val)
  {
    $chara1 = Input::post('chara1');
    $chara2 = Input::post('chara2');
    $chara3 = Input::post('chara3');

    if( $chara1 == $chara2 && $chara1 != 'chara_none' ) return false;
    if( $chara1 == $chara3 && $chara1 != 'chara_none' ) return false;
    if( $chara2 == $chara3 && $chara2 != 'chara_none' ) return false;

    return true;
  }
}

いきなり引数 $valを無視してますｗ
普通に項目の内容を検証するには下記のようにします。

public static function _validation_test_validation( $val )
{
  return $val == "ABC" ? true : false;
}

オプションを与えることもできます。
オプションの必要なルールだと「max_length」が良い例ですね。
下記ではエラーメッセージも同時に設定しています。

public static function _validation_test_validation( $val, $option )
{
  Validation::active()->set_message('test_validation', ':label は「'.$option.'」じゃない。');
  return $val == $option ? true : false;
}

前回の記事でメッセージのカスタマイズについて書いたように
fuel/app/lang/ja/validation.php
に記述してもかまいません。

フォームから入力されたデータの検証（Validation）についてのメモです。

FuelPHPでフォームを扱うにはひとつひとつViewに記述していく方法と、
Fieldsetクラスを使ってまとめて管理する方法があるようです。

• FuelPHP の Fieldset を使おう(Form の自動生成) - A Day in Serenity @ Kenji

Fieldsetクラスを使うほうが FuelPHPらしいのですが、
Fieldset->build() で出力される HTMLが目的と違うので
今回はひとつひとつ書いていきました。

echo Form::open('entry/confirm');

echo Form::label('名前','name');
echo Form::input('name', Input::post('name'), array('class'=>'intput-middle'));

echo Form::label('メールアドレス','email');
echo Form::input('email', Input::post('email'), array('class'=>'intput-middle'));

echo Form::submit('submit', '確認');
echo Form::close();

バリデーションを行う

バリデーションのやり方は簡単で、Validationクラスのインスタンスを作れば
フォームの内容は自動的に格納されます。

$validation = Validation::forge();

$validation->add( 'name', 'お名前' )
  ->add_rule('required');

$validation->add( 'email', 'メールアドレス' )
  ->add_rule('valid_email')
  ->add_rule('required');

forge()でインスタンスを作り、add()、add_rule()で
項目とバリデーションルールを設定します。
ルールはこのへんが標準で用意されています。

if( $validation->run() )
{
  // 問題ない時の処理
}
else
{
  // 問題ある時の処理
  // エラーの項目とメッセージの連想配列を取得
  $errors = $validation->error();
  // エラーメッセージ用HTMLを取得
  $error_html = $validation->show_errors();
  // 検証に使用した入力値を項目と値の連想配列で取得
  $error_input = $validation->input();
}

run()でバリデーションを行い、エラーの場合はその結果を取得します。

show_errors()の結果は HTMLなので、そのままビューに渡すとエスケープされてしまいます。
set_safe() で渡すことで HTMLのままになります。

$this->template->content = View::forge( 'entry/index', Array(
  'errors' => $errors,
  'error_input' => $error_input
));

$this->template->content->set_safe( 'error_html', $error_html );

上記は Controllerクラスの継承ではなく Controller_Templateクラスの継承の場合です。
Controllerの場合は下記のように記述します。

$view = View::forge( 'entry/index', Array(
  'errors' => $errors,
  'error_input' => $error_input
));
$view->set_safe('error_html', $error_html);

エラーメッセージのカスタマイズ

fuel/core/lang/en/validation.php をコピーし
fuel/app/lang/ja/validation.php に保存します。

バリデーション項目ごとに記述されているので自分の好きなように編集します。

return array(
  'required'      => ':label が入力されていません。',
  'valid_email'   => ':label の書式が正しくありません。',
  ～略～
);

初期状態では英語設定なので、日本語設定にします。
fuel/app/config/config.php の下記の部分を書き換えます。

'language'           => 'ja',
'language_fallback'  => 'ja',

以上のようにバリデーションと、メッセージのカスタマイズが行えます。
下記サイトがとても詳して大変参考にさせていただきました。

• Tatsuya Blog ? [FuelPHP]Validationの使い方
• 【FuelPHP】フォームの内容を配列で受け取った場合、バリデートはどうやるの？ | プログラマ気分