Eigenes Script: Das Request-Token konnte nicht validiert werden.

Ich muss das Thema kurz aufgreifen: ich includiere ne php-Datei, einen Tarifrechner, der das Ergebnis wieder in die Seite schreibt.
Die dazugehörige tmp-Datei wird erzeugt, das csrf_https-contao_csrf_token wird jedenfalls gesetzt und übertragen.

_________________________________________
Fehler:
Was ist das Problem?
Das Request-Token konnte nicht validiert werden.

Wie kann ich das Problem lösen?
Bitte klicken Sie hier und versuchen Sie es erneut. Verwenden Sie nicht die Zurück-Schaltfläche Ihres Browsers.

Weitere Informationen
Der Fehler tritt bei einer POST-Anfrage ohne gültiges Request-Token auf. In Contao 2.10 wurde die Referer-Prüfung durch ein Request-Token-System ersetzt. Wenn das Problem anhält, verwenden Sie eventuell eine inkompatible Drittanbieter-Erweiterung oder haben Ihre Contao-Installation nicht vollständig aktualisiert.
_________________________________________

Ich habe eine aktuelle Contao 5.3, die Seite läuft schon unter Contao 4.4, da funktioniert alles, jetzt hab ich auf einem neuen Webspace die Seite neu angelegt und die Inhalte händisch übertragen. Nur Text und Bilder wurden kopiert.

Wo kann ich da noch kucken? Im Contao Log steht nichts.

Moderation: Beitrag in einen eigenen Thread verschoben, da es nichts mit dem ursprünglichen Thema zu tun hat.

Sorry Spooky

Poste einen Link zur Seite und das PHP Script um dein Problem und Aufgabenstellung besser verstehen zu können.

Funktioniert unter: https://stadtwerke-hemau.de/strom.html#tarifrechner
Funktioniert nicht mehr unter: https://update.stadtwerke-hemau.de/strom#tarifrechner
PHP 8.4 auf der neuen Seite

Code:

PHP-Code:

<?php if ($_POST['action'] == "go"){ $verbrauch = str_replace(",",".",$_POST['verbrauch']); $ergebnis1 = ($verbrauch * 0.34) + 156.00; $ergebnis1b = number_format($ergebnis1, 2, ',' ,'.'); $ergebnis2 = (($verbrauch * 0.55) * 0.37) + (($verbrauch * 0.45) * 0.30) + 192.00; $ergebnis2b = number_format($ergebnis2, 2, ',' ,'.'); if ($_POST['verbrauch'] != ""){ $meldung = '<p class="bordertop"><strong>Berechnungsergebnis / Ihr Strompreis:</strong></p>'; $meldung .= '<table width="100" border="0" cellspacing="0" cellpadding="0">'; $meldung .= '<tr><td nowrap="nowrap">Normaltarif:</td>'; $meldung .= '<td nowrap="nowrap" align="right">'.$ergebnis1b.' € / Jahr</td></tr>'; $meldung .= '<tr><td nowrap="nowrap">Doppeltarif bei 45% Schwachlastanteil:    </td>'; $meldung .= '<td nowrap="nowrap" align="right">'.$ergebnis2b.' € / Jahr</td></tr></table>'; $meldung .= '<p>Die errechneten Preise beinhalten die Konzessionsabgabe, Grund-/Verrechnungsgebühr,'; $meldung .= 'Stromsteuer und <br>gesetzliche Mehrwertsteuer. Rundungsdifferenzen zu den tatsächlichen Endabrechnungen sind möglich.</p>'; } else { $meldung = '<p><strong><br />Bitte geben Sie bei "Jahresstromverbrauch" eine Zahl ein.</strong></p>'; } } else { $meldung = "<p> </p>"; } $verbrauch = str_replace(".",",",$verbrauch); echo '<form name="formular" id="formular" method="post" action="strom#formular">'."\n"; echo '<input type="text" name="verbrauch" size="15" value="'.$verbrauch.'" style="width:100px; height:20px;" />'; echo '  [kWh]  '; echo '<input type="hidden" name="action" value="go" />'; echo '<br>'."\n"; echo '<br>'."\n"; echo '<input type="submit" value="Berechnen" id="ctrl_64" class="submit" style="width:10%;" />'."\n"; echo '</form>'."\n"; echo '<p>'.$meldung.'</p>'."\n"; ?>

PHP Code immer mit [php] Tags posten.

Folgende Probleme bzw. Verbesserungspotentiale hast du:

Die Seite https://update.stadtwerke-hemau.de/strom setzt sofort ein Session Cookie

Code:

$ curl -I https://update.stadtwerke-hemau.de/strom HTTP/1.1 200 OK … Contao-Cache: miss Set-Cookie: PHPSESSID=…; path=/; secure; httponly; samesite=lax Set-Cookie: csrf_https-contao_csrf_token=…-TtUKZIBzSTjR579ZGbwoE; path=/; secure; httponly; samesite=lax

Dadurch benötigt das Formular des Tarifrechners auch sofort ein CSRF Token. Hier solltest du analysieren, welche Komponente deiner Contao Installation etwas in die Session schreibt und wozu.
Deinen Tarifrechner solltest du lieber als echtes Inhaltselement umsetzen. Notfalls vielleicht noch als HTML5 Template für das Template Inhaltselement (bspw. ce_template_tarifrechner.html5).
Das Formular deines Tarifrechners übermittelt aktuell kein CSRF Token, deswegen kommt es zu diesem Fehler (bzw. kann es zu diesem Fehler kommen, sobald du den ersten Punkt behoben hast).

Ich habs mal als Inhaltselement gesetzt: Template ce_html.html5 kopiert, umbenannt in ce_html_tarifrechner.html5 und den Tarifrechner-PHP-Code reinkopiert, als Inhaltselement HTML ausgewählt und mit dem Template verknüpft.
Fehler bleibt. Beim Token bin ich raus - wie schaffe ich es, dass er gesetzt wird? Schon sehr speziell...

und geschafft (Token im Formular gesetzt):

PHP-Code:

<?php if ($_POST['action'] == "go"){ $verbrauch = str_replace(",",".",$_POST['verbrauch']); $ergebnis1 = ($verbrauch * 0.34) + 156.00; $ergebnis1b = number_format($ergebnis1, 2, ',' ,'.'); $ergebnis2 = (($verbrauch * 0.55) * 0.37) + (($verbrauch * 0.45) * 0.30) + 192.00; $ergebnis2b = number_format($ergebnis2, 2, ',' ,'.'); if ($_POST['verbrauch'] != ""){ $meldung = '<p class="bordertop"><strong>Berechnungsergebnis / Ihr Strompreis:</strong></p>'; $meldung .= '<table width="100" border="0" cellspacing="0" cellpadding="0">'; $meldung .= '<tr><td nowrap="nowrap">Normaltarif:</td>'; $meldung .= '<td nowrap="nowrap" align="right">'.$ergebnis1b.' € / Jahr</td></tr>'; $meldung .= '<tr><td nowrap="nowrap">Doppeltarif bei 45% Schwachlastanteil:    </td>'; $meldung .= '<td nowrap="nowrap" align="right">'.$ergebnis2b.' € / Jahr</td></tr></table>'; $meldung .= '<p>Die errechneten Preise beinhalten die Konzessionsabgabe, Grund-/Verrechnungsgebühr,'; $meldung .= 'Stromsteuer und <br>gesetzliche Mehrwertsteuer. Rundungsdifferenzen zu den tatsächlichen Endabrechnungen sind möglich.</p>'; } else { $meldung = '<p><strong><br />Bitte geben Sie bei "Jahresstromverbrauch" eine Zahl ein.</strong></p>'; } } else { $meldung = "<p> </p>"; } $verbrauch = str_replace(".",",",$verbrauch); echo '<form name="formular" id="formular" method="post" action="strom#formular">'."\n"; echo '<input type="text" name="verbrauch" size="15" value="'.$verbrauch.'" style="width:100px; height:20px;" />'; echo '  [kWh]  '; echo '<input type="hidden" name="REQUEST_TOKEN" value="'.$this->requestToken.'">'; echo '<input type="hidden" name="action" value="go" />'; echo '<br>'."\n"; echo '<br>'."\n"; echo '<input type="submit" value="Berechnen" id="ctrl_64" class="submit" style="width:10%;" />'."\n"; echo '</form>'."\n"; echo '<p>'.$meldung.'</p>'."\n"; ?>

Vielen Dank Spooky

Ganz andere Frage (die das Thema Token nebenbei lösen würde): wozu brauchst Du überhaupt ein Form-Submit?

Das

PHP-Code:

$ergebnis1 = ($verbrauch * 0.34) + 156.00; $ergebnis1b = number_format($ergebnis1, 2, ',' ,'.'); $ergebnis2 = (($verbrauch * 0.55) * 0.37) + (($verbrauch * 0.45) * 0.30) + 192.00; $ergebnis2b = number_format($ergebnis2, 2, ',' ,'.');

sollte JavaScript doch auch berechnen und als Ergebnis einblenden können.

Wenn ich nichts übersehen habe: mehr passiert doch auf der Seite nicht, oder?

Da magst du recht haben, aber der große Scripter vor dem Herrn bin ich nicht. Dieses PHP-Snippet hab ich übernommen und eingebunden.

Vielleicht probier ich das mal - wenn ich viel Zeit hab (dauert also noch).

Zitat:

Zitat von liebling65

Beim Token bin ich raus - wie schaffe ich es, dass er gesetzt wird? Schon sehr speziell...

Wie meinst du speziell? POST Requests im Contao Frontend Scope brauchen immer einen CSRF Token, sobald ein Cookie (wie zB das Session Cookie) da ist. Das war auch in Contao 3 und 4 so.

Zitat:

Zitat von fiedsch

Ganz andere Frage (die das Thema Token nebenbei lösen würde): wozu brauchst Du überhaupt ein Form-Submit?

Das

PHP-Code:

$ergebnis1 = ($verbrauch * 0.34) + 156.00; $ergebnis1b = number_format($ergebnis1, 2, ',' ,'.'); $ergebnis2 = (($verbrauch * 0.55) * 0.37) + (($verbrauch * 0.45) * 0.30) + 192.00; $ergebnis2b = number_format($ergebnis2, 2, ',' ,'.');

sollte JavaScript doch auch berechnen und als Ergebnis einblenden können.

Wenn ich nichts übersehen habe: mehr passiert doch auf der Seite nicht, oder?

Tatsächlich schnell in ChatGPT eingegeben und umwandeln lassen - geht. Gute Idee.

Zitat:

Zitat von Spooky

Wie meinst du speziell? POST Requests im Contao Frontend Scope brauchen immer einen CSRF Token, sobald ein Cookie (wie zB das Session Cookie) da ist. Das war auch in Contao 3 und 4 so.

Ja, aber damit hab ich mich tatsächlich nie beschäftigt.

Zitat:

Zitat von liebling65

Ja, aber damit hab ich mich tatsächlich nie beschäftigt.

Musst du aber, wenn du eigens programmierte POST Formulare in Contao einsetzen willst ;)

Den ersten Punkt hier solltest du auch noch prüfen, unabhängig vom Tarifrechner.

Liste der Anhänge anzeigen (Anzahl: 1)

vielleicht hilft dir meine Lösung etwas

habe hier einen dynamischen Preisrechner integriert https://www.iaf-messe.com/de/preise

Anbei die Include HTML5 Datei und das zugehörige js.
Anhang 28105

Gruß