# ControllerAction mit in CSRFProtectedActions aufnehmen

**URL:** <https://forum.shopware.com/t/controlleraction-mit-in-csrfprotectedactions-aufnehmen/50346>\
**Category:** Programmierung\
**Created:** [9. Januar 2018 um 10:58 UTC](https://forum.shopware.com/t/controlleraction-mit-in-csrfprotectedactions-aufnehmen/50346 "2018-01-09T10:58:48Z")\
**Posts on this page:** 5\
**Page:** 1

<div class="post-metadata">

**Author:** ![frk](https://avatars.discourse-cdn.com/v4/letter/f/bc8723/32.png) [@frk](https://forum.shopware.com/u/frk)\
**Post date:** [9. Januar 2018 um 10:58 UTC](https://forum.shopware.com/t/controlleraction-mit-in-csrfprotectedactions-aufnehmen/50346/1 "2018-01-09T10:58:48Z")

</div>

Hallo zusammen,

in&nbsp;\Shopware\Components\CSRFTokenValidator::isProtected wird geprüpft ob:

- controller&nbsp;instanceof CSRFGetProtectionAware  
-&nbsp;ControllerAction =&nbsp;CSRFProtectedActions&nbsp;

Ich möchte einige Actions mit aufnehmen z.B.:

```
checkout/addArticle

```

Geht das und wie?

---

<div class="post-metadata">

**Author:** ![Patrick\_Stahl](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/patrick_stahl/32/7679_2.png) [@Patrick\_Stahl](https://forum.shopware.com/u/Patrick_Stahl)\
**Post date:** [9. Januar 2018 um 11:02 UTC](https://forum.shopware.com/t/controlleraction-mit-in-csrfprotectedactions-aufnehmen/50346/2 "2018-01-09T11:02:45Z")

</div>

Hallo @frk‍,

dazu muss dein Controller das Interface&nbsp; **\Shopware\Components\CSRFWhitelistAware** &nbsp;implementieren.  
Diese bringt dann auch eine neue Action mit:&nbsp;getWhitelistedCSRFActions

In dieser Action returnst du ein Array von den Action-Namen, die du CSRF-whitelisten möchtest.

Denk’ aber bitte dran, dass das, je nach Anwendungsfall, Sicherheitslücken öffnet und du dir sicher sein solltest, dass du deine Actions davon befreien willst.  
Die CSRF-Protection hat ja erstmal eine Daseins-Berechtigung.

Gruß,  
Patrick&nbsp; ![Shopware](https://europe1.discourse-cdn.com/flex013/uploads/shopware/original/1X/86c57fbace799dd4eb1f1b8a2d3bdc1733f0aea1.png "Shopware")

---

<div class="post-metadata">

**Author:** ![frk](https://avatars.discourse-cdn.com/v4/letter/f/bc8723/32.png) [@frk](https://forum.shopware.com/u/frk)\
**Post date:** [9. Januar 2018 um 11:26 UTC](https://forum.shopware.com/t/controlleraction-mit-in-csrfprotectedactions-aufnehmen/50346/3 "2018-01-09T11:26:13Z")

</div>

Hi Patrick,

danke schonmal.

Sinn und Zweck ist es, dass z.B. “checkout/addArticle” keinen&nbsp;CSRF-Token Schutz hat, das würde ich gerne umsetzen.

Wie bringt man&nbsp;

```
Shopware_Controllers_Frontend_Checkout

```

bei, dass es CSRFWhitelistAware (oder ggf.&nbsp;CSRFGetProtectionAware) implementieren soll?

Ich würde sonst den Weg gehen den Service “shopware.csrftoken\_validator” zu manipulieren.

---

<div class="post-metadata">

**Author:** ![Patrick\_Stahl](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/patrick_stahl/32/7679_2.png) [@Patrick\_Stahl](https://forum.shopware.com/u/Patrick_Stahl)\
**Post date:** [9. Januar 2018 um 12:50 UTC](https://forum.shopware.com/t/controlleraction-mit-in-csrfprotectedactions-aufnehmen/50346/4 "2018-01-09T12:50:09Z")

</div>

Moin @frk‍,

aber warum willst du das?  
Es ist nicht möglich in der Hinsicht bestehende Controller zu bearbeiten - und ich möchte dir erneut stark davon abraten!  
In welchem Szenario würdest du Standard Funktionalitäten wie das Hinzufügen eines Artikels zum Warenkorb von der CSRF-Überprüfung ausnehmen wollen?

TL;DR: Es ist jedenfalls nicht ohne Weiteres möglich den Standard-Controller dazu zu bringen, das o.g. Interface zu implementieren.

Gruß,  
Patrick&nbsp; ![Shopware](https://europe1.discourse-cdn.com/flex013/uploads/shopware/original/1X/86c57fbace799dd4eb1f1b8a2d3bdc1733f0aea1.png "Shopware")

---

<div class="post-metadata">

**Author:** ![frk](https://avatars.discourse-cdn.com/v4/letter/f/bc8723/32.png) [@frk](https://forum.shopware.com/u/frk)\
**Post date:** [9. Januar 2018 um 14:42 UTC](https://forum.shopware.com/t/controlleraction-mit-in-csrfprotectedactions-aufnehmen/50346/5 "2018-01-09T14:42:27Z")

</div>

Ich?  
Ich&nbsp;will garnichts 😉

Es gibt halt immer jemanden der es besser weiß und den Standard in Frage stellt.  
Muss halt nur die Anforderung umsetzen.

Ich mach das jetzt per Plugin und manipuliere&nbsp;den Service.

Hab gehofft, dass es vielleicht eine Konfiguration&nbsp;gibt den man anpassen kann um Controller/Action&nbsp;zu pflegen, oder Ähnliches.

Aber danke nochmal, läuft schon

~closed~