ERP code 수정 편집하기 (부분)

==CSRF(Cross-Site Request Forgery) 보안 검사 오류==
서버가 호출한 것이 맞는지 확인하는 보안 프로세스, 보안 강화를 위해서 토큰을 붙여서 전송, 발생 토큰이 동일한지 확인하는 보안 알고리즘

:* 사이트에서 호출
 https://erp.example.com/projet/card.php?id=3&action=close
 호출하는 경우

:* 같은 CSRF 토큰이 함께 전달되어야 함
 token=xxxx

* 문제 발생원인
:#. 외부 시스템에서 Dolibarr URL을 직접 호출
:#. PHP 코드에서 curl 사용
:#. Power Automate 또는 API 호출
:#. 리버스 프록시(Nginx, Traefik, Apache Proxy) 사용 중 헤더 누락
:#. 사용자 정의 모듈(Custom Module)의 폼에 토큰 미포함
:#. Dolibarr CSRF 설정이 너무 엄격하게 설정됨 (MAIN_SECURITY_CSRF_WITH_TOKEN >= 2) 

* 오래된 php에서는 CSRF 토큰 알고리즘을 사용하지 않는 경우가 있음.
토큰 생성 php에 추가
 <input type="hidden" name="token" value="<?php echo newToken(); ?>">
 혹은
 print '<input type="hidden" name="token" value="'.newToken().'">';


* 수정전 코드
 print ''.$_SERVER[';
 print '<input type="hidden" name="action" value="create" />';
 print '<input type="hidden" name="page" value="'.$page.'" />';
 print '<input type="hidden" name="fk_type" value="'.$id.'" />';
 print '<input type="hidden" name="backtopage" value="'.$backtopage.'" />';

* 수정후 코드
 print ''.$_SERVER[';
 '''print '<input type="hidden" name="token" value="'.newToken().'">'; ''' # 추가
 print '<input type="hidden" name="action" value="create" />';
 print '<input type="hidden" name="page" value="'.$page.'" />';
 print '<input type="hidden" name="fk_type" value="'.$id.'" />';
 print '<input type="hidden" name="backtopage" value="'.$backtopage.'" />';

* 흐름

 사용자가 Validate 버튼 클릭
         ↓
 <form method="post">
         ↓
 action=create 로 POST 전송
         ↓
 card.php → z-actions/create.php 실행
         ↓
 Dolibarr main.inc.php에서 CSRF token 검사
         ↓
 token 없으면 차단