서브도메인이나 m 도메인 사용시에

checCSRF 에서 Referer과 기본 주소를 프로토콜 포함해서 풀로 검색할려고 하기때문에..

false 값이 돌아오는 것 같습니다.

그래서 글이나 댓글 작성할 때 올바르지 않은 요청 입니다 (?) 였나? 하는 경고나 나오더군요..

기본주소에서 프로토콜을 빼고.. 호스트명만 가지고 비교를 하고.. 또 strstr 로 Referer과 비교하던걸 

패턴 매칭을 통해서 비교하면 어떨 까 싶습니다.

일단 제가 생각한 것은 

function checkCSRF()
{
	if($_SERVER['REQUEST_METHOD'] != 'POST')
	{
		return FALSE;
	}

	$defaultUrl = Context::getDefaultUrl();
	$referer = parse_url($_SERVER["HTTP_REFERER"]);

	$oModuleModel = getModel('module');
	$siteModuleInfo = $oModuleModel->getDefaultMid();

	if($siteModuleInfo->site_srl === 0)
	{
		if(!strstr(strtolower($defaultUrl), strtolower($referer['host'])))
		{
			return FALSE;
		}
	}
	else
	{
		$virtualSiteInfo = $oModuleModel->getSiteInfo($siteModuleInfo->site_srl);
		$virtualSiteUrl = parse_url($virtualSiteInfo->domain);

		if(strtolower($virtualSiteInfo->domain) != strtolower(Context::get('vid')) && !preg_match('/^([a-z]+\.)?'.$virtualSiteUrl['host'].'$/',$referer['host']))
		{
			return FALSE;
		}
	}

	return TRUE;
}

이런 식으로 

$virtualSiteUrl = parse_url($virtualSiteInfo->domain); 

도메인에서 호스트 부분만 빼 온 다음에 

!preg_match('/^([a-z]+\.)?'.$virtualSiteUrl['host'].'$/',$referer['host'])

이렇게 패턴 매칭으로 서브도메인으로 접속해 있는 경우 걸리지 않게 해주는 것입니다.

물론 asdf.서브도메인.기본주소.asdf.kr  식이나 서브도메인.기본주소.asdf.kr 식으로 들어오면 false 가 되는 식으로요..

몇일 전부터 모바일 전용 주소를 사용하고 있었는데.. 모바일 주소로 접속하면 글쓰기와 댓글쓰기가 안된다고 하셔서....

뭐가 문제이지 하고 찾아봤더니 저기서 걸리더군요... (...)

일단 github 에도 이슈로 올려놓긴 했지만 여기서 공개 토론(?) 을 하면 더 좋은 방법이 나오지 않을까 해서 올려봅니다.