Druckbare Version
Hallo,
ich weiß, es gibt zu diesem Thema zahlreiche Threads, aber nichts hat 100%ig gepasst und alle vorgeschlagenen Lösungen haben nicht funktioniert. Folgende Situation:
Contao Update von 4.5.x auf 4.9.9, Ionos, alle Caches geleert, Caching auf der Seite des Formulars deaktiviert. Jedes Mal, wenn ich ein normales Kontaktformular absende, kommt der Fehler. In den Logs findet sich nichts.
Woran kann das liegen?
Poste die URL wo das Problem auftritt.
Bei deinem Formular ist aus irgendeinem Grund der REQUEST_TOKEN Parameter leer:Wie das passieren kann weiß ich aber auch nicht.HTML-Code:<input type="hidden" name="REQUEST_TOKEN" value="">
Wenn man die Seite dann neu lädt, wird er gefüllt.
Gleiches Verhalten hier, es passiert immer dann, wenn man den Cache leert, eine Seite neulädt (mit dem Formular drauf) und dann versucht es abzuschicken.
In diesem Moment wird kein REQUEST_TOKEN gesetzt, der ist dann leer.
Wenn ich die Seite erneut neulade, wir einer geschrieben, dann gklappt das Formular auch.
Ist das ein bekanntest Problem?
Contao 4.9.9 noch im Einsatz.
Werde nun auf die neuste Updaten.
Wenn du das so in einer frischen Contao 4.9.11 Installation reproduzieren kannst, dann solltest du dafür ein Issue auf GitHub anlegen.
Gleiches Verhalten kann ich auch mit der Contao 4.9.11 und auf der Demo-Seite:
Anhang 24317
Da funktioniert das Formular aber (scheinbar, hat nämlich keine Dankeseite etc.) noch...
In der Demo muss der Request Token vielleicht nicht validiert werden, weil evt. keine Session zuvor erzeugt wurde.
Hallo, ich klinke mich gleich einmal direkt mit zu dem Thema ein, da ich genau das gleiche Problem habe. Verschiede Contao Versionen von 4.9.3, 4.9.5 sowie 4.9.11 machen bei mir keinen Unterschied.
Ich wollte ein kleines und ein größere externes PHP Script einbinden als Template mit den Insert-Tags einbinden. Sobald ein Formularfeld im Spiel ist erhalte ich immer wieder den Fehler "Ungültiges Anfrage-Token".
Im Debug Modus erhält man den Hinweis . Invalid CSRF token!
Gibt es da eine Möglichkeit vielleicht als Scripterweiterung ein Token generieren zu lassen ?
Ich nutze eigentlich sehr gerne Contao, aber dieser Fehler k....... mich an!
@dreyli das ist ein anderes Problem. Du musst dafür sorgen, dass dein eigens erzeugtes Formular auch einen gültigen Request Token enthält. Die einfachste Variante wäre die REQUEST_TOKEN Konstante zu benutzen, das wird in Contao 4 voraussichtlich weiterhin funktionieren. Besser wäre jedoch Dependency Injection zu benutzen:
Hallo Spooky,
danke für deine schnelle Antwort.
Ich habe das Dokument ExampleFormElementController.php im Ordner // src/Controller/ContentElement/ExampleFormElementController.php angelegt, da ich in der class extends AbstractContentElementController gelesen habe.
Im Template wurdekopiert und eingetragen.HTML-Code:<form>
<input type="hidden" name="REQUEST_TOKEN" value=" = $this->token ">
<!-- … -->
</form>
Contao habe ich ebenfalls auf 4.9.12 aktualisiert.
Leider sehe ich im HTML Quelltext kein Token!
Nachdem ich Symphonie Prod Cache aktualisiert habe, erhalte ich nun eine Fehlermeldung und nix geht mehr!
Hast Du vielleict ne Idee? - Das Dokument ExampleFormElementController.php ist vorhanden!PHP-Code:$ /usr/bin/php72 -q -dmax_execution_time=0 -dmemory_limit=-1 -dallow_url_fopen=1 -ddisable_functions= -ddate.timezone=Europe/Berlin /www/htdocs/..../vendor/contao/manager-bundle/bin/contao-console cache:warmup --env=prod
// Warming up the cache for the prod environment with debug
// false
17:57:57 ERROR [console] Error thrown while running command "cache:warmup --env=prod". Message: "Class App\Controller\ContentElement\ExampleFormElementController does not exist in /www/htdocs/...../vendor/contao/core-bundle/src/Controller (which is being imported from "/www/htdocs/...../vendor/contao/core-bundle/src/ContaoManager/../Resources/config/routing.yml"). Make sure annotations are installed and enabled." ["exception" => Symfony\Component\Config\Exception\LoaderLoadException { …},"command" => "cache:warmup --env=prod","message" => "Class App\Controller\ContentElement\ExampleFormElementController does not exist in /www/htdocs/...../vendor/contao/core-bundle/src/Controller (which is being imported from "/www/htdocs/..../vendor/contao/core-bundle/src/ContaoManager/../Resources/config/routing.yml"). Make sure annotations are installed and enabled."]
[B]In FileLoader.php line 180:[/B]
Class App\Controller\ContentElement\ExampleFormElementController does not e
xist in /www/htdocs/...../vendor/contao/core-bundle/src/Controller (whic
h is being imported from "/www/htdocs/...../vendor/contao/core-bundle/sr
c/ContaoManager/../Resources/config/routing.yml"). Make sure annotations ar
e installed and enabled.
[B]In AnnotationDirectoryLoader.php line 62:[/B]
Class App\Controller\ContentElement\ExampleFormElementController does not e
xist
cache:warmup [--no-optional-warmers] [-h|--help] [-q|--quiet] [-v|vv|vvv|--verbose] [-V|--version] [--ansi] [--no-ansi] [-n|--no-interaction] [-e|--env ENV] [--] <command>
# Process terminated with exit code 1
# Result: General error
Führe composer install aus.
Beachte aber, dass das, was in der Dokumentation steht, nur ein Beispiel ist.
Hi,
ich habe sowohl die Composer Class Loader und den Composer-Abhängigkeiten - Installer ausgeführt.
Leider erhalte ich beim Installer den folgenden Fehler zu fehlenden Klassen
- den Pfad zum routing.yml finde ich leider auch nicht.
Ich habe mir nun auch nochmal die Seite angeschaut und durchgelesen https://docs.contao.org/dev/referenc...rftokenmanagerPHP-Code:In FileLoader.php line 180:
Class App\Controller\ContentElement\ExampleFormElementController does not e
xist in /www/htdocs/..../vendor/contao/core-bundle/src/Controller (whic
h is being imported from "/www/htdocs/..../vendor/contao/core-bundle/sr
c/ContaoManager/../Resources/config/routing.yml"). Make sure annotations ar
e installed and enabled.
In AnnotationDirectoryLoader.php line 62:
Class App\Controller\ContentElement\ExampleFormElementController does not e
xist
Entweder ich übersehe hier etwas oder mache vielleicht einen anderen Fehler.
Schritt 1 - Dokument mit ExampleFormElementController.php erstellen und in dem Ordner ContentElement ablegen
Schritt 2 - Den Code im Template einbindenPHP-Code:// src/Controller/ContentElement/ExampleFormElementController.php
<?php
namespace App\Controller\ContentElement;
use Contao\ContentModel;
use Contao\CoreBundle\Controller\ContentElement\AbstractContentElementController;
use Contao\CoreBundle\ServiceAnnotation\ContentElement;
use Contao\Template;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
/**
* @ContentElement(category="texts")
*/
class ExampleFormElementController extends AbstractContentElementController
{
/**
* @var CsrfTokenManagerInterface
*/
private $csrfTokenManager;
/**
* @var string
*/
private $csrfTokenName;
public function __construct(CsrfTokenManagerInterface $csrfTokenManager, string $csrfTokenName)
{
$this->csrfTokenManager = $csrfTokenManager;
$this->csrfTokenName = $csrfTokenName;
}
protected function getResponse(Template $template, ContentModel $model, Request $request): ?Response
{
$template->token = $this->csrfTokenManager->getToken($this->csrfTokenName)->getValue();
return $template->getResponse();
}
}
Schritt 3 -PHP-Code:<form>
<input type="hidden" name="REQUEST_TOKEN" value="<?= $this->token ?>">
<!-- … -->
</form>
- Composer-Abhängigkeiten installer ausführen
- Ebenfalls wurde der Anwendungs-Cache sowie der Composer Class Loader aktualisiert
Übersehe ich etwas?
Ich habe den Pfad des Namespace nocheinmal angepasst.
Anwendungs-Cache, Composer Class Loader und Composer-Abhängigkeiten sind nun ohne Fehlermeldung durchgelaufen.
Leider erhalte ich trotzdem kein Request Token
Der Wert bleibt einfach Leer ohne value Inhalt
Der DEBUG Modus nennt mir weiterhin den folgenden FehlerHTML-Code:<input type="hidden" name="REQUEST_TOKEN" value="">
Invalid CSRF token
PHP-Code:Kernel->handle(object(Request)) in web/index.php (line 31)
$loader = require __DIR__.'/../vendor/autoload.php';
$request = Request::createFromGlobals();
$kernel = ContaoKernel::fromRequest(\dirname(__DIR__), $request);
$response = $kernel->handle($request);
$response->send();
if ($kernel instanceof TerminableInterface) {
$kernel->terminate($request, $response);
}
Anhang 24323
Hi Spooky,
den Composer habe nun auch installiert. MIr fehlt aber gerade der Durchblick für weitere Schritte mit dem Composer
Könntest Du noch einmal behilflich sein?
Ich greife das urspr. Thema nochmal auf, weil es bei mir auch auftritt – und zwar beim Formularversand im FE in Kombination mit dem Tracking Code von Google Analytics.
Betrifft sowohl den neueren Universal Code bzw. jenen von Google Analytics 4 (gtag.js) als auch den Code vom Google Tag Manager. Ausschlaggebend scheinen die extern verlinkten .js-files von Google zu sein.
Kann ganz leicht nachgestellt werden:
- Frische Contao-Installation (egal ob 4.9 oder 4.10) mit einem der erwähnten Google Codes im Seitenlayout.
- Formular z.B. gleich auf der Startseite
- Alle Cookies löschen
- Seite mit Formular direkt aufrufen (ohne vorher andere Seiten aufzurufen)
- Formular absenden > Fehlermeldung "Ungültiger Anfrage-Token"
Sobald die Seite neu geladen wird, funktioniert das Formular wie gewünscht.
Scheinbar sorgen die externen Google-Scripte für einen Konflikt mit dem CSRF Token? Wie könnte das gelöst werden?
Poste einen Link zur Seite wo das Problem auftritt.
Hier, ganz "nackte" Seite, nur Google Analytics (gtag.js) eingebaut:Zitat:
Zitat von Spooky
http://contao.veverka.at/
Außer einem 404er kommt da nichts bei mir.
Bei mir ganz normal alles, kein ungültiges Anfrage-Token
... Cookies gelöscht vorher?Zitat:
Zitat von mlweb
Ja, kann das dort reproduzieren. Kannst du mal einen Datenbank Dump + composer.json der Seite zur Verfügung stellen?Zitat:
Zitat von dive
hier die composer.json:
und der DB-Dump:Code:{
"type": "project",
"require": {
"contao/manager-bundle": "4.9.*",
"contao/calendar-bundle": "4.9.*",
"contao/comments-bundle": "4.9.*",
"contao/faq-bundle": "4.9.*",
"contao/listing-bundle": "4.9.*",
"contao/news-bundle": "4.9.*",
"contao/newsletter-bundle": "4.9.*",
"contao/conflicts": "*@dev"
},
"extra": {
"contao-component-dir": "assets"
},
"scripts": {
"post-install-cmd": [
"Contao\\ManagerBundle\\Composer\\ScriptHandler::initializeApplication"
],
"post-update-cmd": [
"Contao\\ManagerBundle\\Composer\\ScriptHandler::initializeApplication"
]
}
}
Anhang 24391
Hallo Spooky,
herzlichen Dank für dein Engagement! Habe das ein bisschen auf GitHub mitverfolgt – soweit ich es verstehe ;-)
Ich hoffe, das Problem lässt sich lösen.
LG, Dieter
@dive teste mal diese Änderung: https://github.com/contao/contao/iss...ment-796813028
Bin jetzt erst dazu gekommen das zu testen. Ja ... mit der Anpassung klappt es.
Danke nochmal!
Ich muss das Thema leider nochmal aufrollen. Die von Spooky gepostete Änderung wurde ja inzwischen in den Core übernommen. Das Problem tritt bei mir in 4.13.23 auf und lässt sich auch reproduzieren indem man die Cookies löscht.Zitat:
Zitat von Spooky
Poste URL + Reproduktionsschritte.
Es wird also kein Request Token erstellt, weil die Cookies von Drittanbietern dazwischenfunken? Bei einem Kunden wird z.B. ein externes Consent-Tool eingesetzt, welches den Cookie cookieyes-consent setzt. Habe ich nun die möglichkeit speziell dieses Cookie auf die Denylist zu setzen? Wie mache ich das bzw. ist das überhaupt das Problem?Zitat:
Zitat von Spooky
Seite: https://partner.hubdock.com/
Im privaten Firefox-Tab zunächst kein Request-Token im Formular ganz unten auf der Seite, beim Neuladen ist dann ein Request-token.
Braucht deine Applikation das Cookie?
Eigentlich schon. Dieses Content-Tool funktioniert sub-domain-übergreifend, das ist wichtig für diese Webseite. Und ohne Consent kein Tracking.
Das heißt ihr prüft Server-seitig, also in eurem PHP Code, den Inhalt dieses Cookies?
Ich bin mir nicht ganz sicher, ob ich deine Frage richtig verstehe. Dieser Cookie wird durch einen Drittanbieter gesetzt: https://www.cookieyes.comZitat:
Zitat von Spooky
In einer JS-Funktion wird dann geprüft, ob der Nutzer "Statistik-Tracking" erlaubt:
Diese Funktion kommt direkt vom Hersteller der App.Code:<script>
var waitForTrackerCount = 0;
function matomoWaitForTracker() {
if (typeof _paq === 'undefined') {
if (waitForTrackerCount < 40) {
setTimeout(matomoWaitForTracker, 250);
waitForTrackerCount++;
return;
}
} else {
document.addEventListener("cookieyes_consent_update", function (eventData) {
const data = eventData.detail;
consentSet(data);
});
}
}
function consentSet(data) {
if (data.accepted.includes("analytics")) {
_paq.push(['setCookieConsentGiven']);
_paq.push(['setConsentGiven']);
} else {
_paq.push(['forgetCookieConsentGiven']);
_paq.push(['forgetConsentGiven']);
}
}
document.addEventListener('DOMContentLoaded', matomoWaitForTracker());
</script>
Nur bei consent wird dann der Standard-Matomo-Script geladen.
Das heißt eure App braucht das Cookie an und für sich nicht? Ihr braucht es nur im Browser? Wenn ja, dann könnt ihr das Cookie einfach strippen lassen - bspw. in der COOKIE_ALLOW_LIST nicht anführen.
Nachdem eure App das Cookie aber gar nicht benötigt wäre es besser, wenn ihr eine Consent Lösung nutzt, die ohne Cookies auskommt (also nur über localStorage bspw.) - da ihr nun eigentlich unnötig ein Cookie setzt.
Danke für die Antwort. Meines Wissens können wir keine localStorage-Variante verwenden, da das Consent über verschiedene (sub)-Domains hinweg gespeichert werden muss.
Ich habe es nicht in der COOKIE_ALLOW_LIST angeführt - oder passiert das automatisch? Habe gehofft, COOKIE_REMOVE_FROM_DENY_LIST könnte es rückgängig machen und habe dies in der env.local eingetragen. Das hatte aber auch keinen Ertrag.
Stehe ich einfach nur auf dem Schlauch? Ich habe schon überlegt, per JS mein Formular und dort drin das Feld REQUEST_TOKEN zu suchen und wenn der value = "" ist, die Seite zu reloaden. Aber das ist eher ein quick and dirty workaround.
Wenn du das Cookie in der COOKIE_REMOVE_FROM_DENY_LIST hinzufügst, dann wird das Cookie zur Applikation durchgelassen, das ist nicht das was du willst. Du solltest wenn dann nur die COOKIE_ALLOW_LIST nutzen (beachte aber den Hinweis bzgl. Contao 4.9, falls du noch Contao 4.9 einsetzt - da es hier in diesem Thread ja um Contao 4.9 geht).
Okay - dann nehme ich das dort wieder runter.
Ist die neuste Contao 4.13er Version. Welchen Ansatz würdest du mir nun empfehlen? Weiter oben war die Rede davon, dass die Contao Session nicht erstellt und daher kein REQUEST_TOKEN generiert wird. Kann ich denn alternativ diesen Vorgang manuell erzwingen?
Oder ist aktuell meine einzige Möglichkeit, den Cookie-Consent zu entfernen?
Wenn du COOKIE_ALLOW_LIST nutzt, sollte es funktionieren.
Ich habe in der .env.local:Zitat:
Zitat von Spooky
Eingebunden und den Cache geleert. Im privaten Fenster wird mir allerdings kein Requesttoken angezeigt.Code:COOKIE_ALLOW_LIST=PHPSESSID,csrf_https-contao_csrf_token,csrf_contao_csrf_token,trusted_device,REMEMBERME
Da muss ja auch nicht unbedingt eines sein. Gibt es denn nun noch ein Problem?Zitat:
Zitat von cwe
Oh, das Formular läuft nun durch - danke dir! Ich hatte es nicht getestet, weil ich davon ausging, dass das Formular nicht abgesendet werden kann, wenn das Request_token fehlt.
Vielen Dank für deine Geduld und den wichtigen Fingerzeig.
Ich muss dieses Thema leider wieder aufgreifen...
Contao 4.13.37
Nach dem Absenden erscheint der Fehler:
Invalid request token
Das Problem tritt aber ur im Edge auf, offensichtlich weil kein REQUEST_TOKEN gesetzt wird.
Chrome und Firefox funktioneren.
Link: https://wopfinger.ro/organizatii/contact.html
Interessanterweise habe ich ein genauso konfiguriertes Formular unter https://wopfinger.com/kontakt.html laufen,
Hier gibts keine Probleme...