Непонятная ошибка с доступами как устранить?

Question

[Сергей Беловенцев]

Пытаюсь на хостинге зайти в debug выдает ошибку

Forbidden (#403)
You are not allowed to access this page.

тоже самое с gii на локальной машине такого нет. И второе все формы в backend при отправке выдают

Bad Request (#400)
 Не удалось проверить переданные данные.

на локальной машине эта ошибка есть. debug показывает что csrf передается вот он

_csrf   'QXNaWk4wVlMjEjU4Clo/JjIXGx8lAj8YFxFiOH1fPjw4MRQZY1YxFw=='

Помогите отыскать ошибку хотя бы в каком направлении искать.

Comments

[Владимир Коровин]

Вам отвечаешь, стараешься помочь, вы же и игнорируете наводящие вопросы..

[Сергей Беловенцев]

Я писал не сохранилось почему то запись видимо не нажал отправить.

[Сергей Беловенцев]

Владимир Коровин: Я писал не сохранилось почему то запись видимо не нажал отправить.

Answer 1

[Андрей]

В main-local, если не нужно всем давать дебаг панель, то вместо звездочки ваш айпи, и права на запись в runtime

$config['bootstrap'][] = 'debug';
    $config['modules']['debug'] = [
        'class' => 'yii\debug\Module',
        'allowedIPs' => ['*'],
    ];
    $config['bootstrap'][] = 'gii';
    $config['modules']['gii'] = [
        'class' => 'yii\gii\Module',
        'allowedIPs' => ['*'],
    ];

Comments

[Сергей Беловенцев]

А по не рабочим формам не поможете

[Андрей]

Сергей Беловенцев: в чем проблема?

[Владимир Коровин]

Андрей, дело в том, что этот человек не хочет разбираться. Он хочет, чтобы вы за него решение нашли. Хочется верить, что Сергей в качестве самообразования занимается, а не пишет кому-то проект за деньги.

[Сергей Беловенцев]

Владимир Коровин: Вы прежде чем кого то по себе судить почитайте вопрос. Специально для вас "
Помогите отыскать ошибку хотя бы в каком направлении искать. " здесь написано решите проблему за меня ?

[Сергей Беловенцев]

Андрей: вроде писал вам не отметилось. Вот эту часть вопроса "И второе все формы в backend при отправке выдают

Bad Request (#400)
Не удалось проверить переданные данные.

на локальной машине эта ошибка есть. debug показывает что csrf передается вот он

_csrf 'QXNaWk4wVlMjEjU4Clo/JjIXGx8lAj8YFxFiOH1fPjw4MRQZY1YxFw=='" уже недели две бьюсь понять не могу почему так.

[Андрей]

Сергей Беловенцев: что если в нужном вам контроллере написать:

public function beforeAction($action)
{            
    $this->enableCsrfValidation = false;
    return parent::beforeAction($action);
}

чтобы убедиться, что проблема не в csrf

[Сергей Беловенцев]

Андрей: Так передается(но это не выход). Я понимаю что передается не совсем правильный _csrf только почему он формируется не правильным для меня не ясная загадка. И формируется он не правильно только в backend во frontend все нормально работает.

[Андрей]

Сергей Беловенцев: не знаю что происходит в вашем коде, но можно попробовать насильно указать в форме тэг

<input type="hidden" name="_csrf" value="<?=Yii::$app->request->getCsrfToken()?>" />

[Андрей]

Сергей Беловенцев: попробуйте поставить Break Point в классе yii\web\Request.php, в функцию validateCsrfTokenInternal, там происходит валидация токена, далее можно посмотреть почему передается неправильный токен, или генерируется и т п

[Сергей Беловенцев]

"Bad Request (#400)Не удалось проверить переданные данные. " там проблема в _csrf где то вот где.

[Андрей]

Сергей Беловенцев: из кук берется trueCsrfToken, гляньте в куках, есть там _csrf?

[Сергей Беловенцев]

Вот кука Set-Cookie: _csrf=fed34c5da6910c3574d96ea6bb2530083721c405dcd725782d3b5a3a95eb668aa%3A2%3A%7Bi%3A0%3Bs%3A5%3A%22_csrf%22%3Bi%3A1%3Bs%3A32%3A%22QCG3WXfpq0jgeRTLPf26pr1avb7C0h1e%22%3B%7D; path=/; httponly
вот дебуг
_csrf 'ZHZ1RFouRE8TOEJ0Y0YjHQoQGi47GWkcVR0icWJoBQwsPCYXFWkoOw=='

[Никита]

Сергей Беловенцев: если поменять вкладку браузера, сабмитить форму где-то и попробовать в предыдущей вкладке отправить данные, то csrf уже не валидный, на то он и нужен. Может вы делаете именно так?

[Сергей Беловенцев]

Никита: Нет я так не делаю вы уже писали я по всякому пробовал.

[Андрей]

Сергей Беловенцев: я же говорю, ставьте брик поинты на функции генерирующие csrfToken сравнивайте с токеном в форме, потом смотрите с чем сравнивается, может у вас вызывается функция которая перегенерирует токен и т п

[Сергей Беловенцев]

Андрей: А как это сделать ну для примера ?

[Андрей]

Сергей Беловенцев: с помощью xDebug можно ставить брик поинты в коде, и смотреть переменные, можно банально var_dump($token);exit(); можно выводить как отладочную информацию, Yii::trace('text');