cakephpでボタンを押したが、DBに保存できない

Question

前提

cakephp:2.x

入力画面があり、入力した後にボタンを押すと、入力された内容がDBに保存される画面を作っています。

発生している問題・エラーメッセージ

POST http://localhost/car-maintenance/estimation_documents/detail 403 (Forbidden)

<pre class="cake-error"><a href="javascript:void(0);" onclick="document.getElementById('cakeErr5f97a48b6906c-trace').style.display = (document.getElementById('cakeErr5f97a48b6906c-trace').style.display == 'none' ? '' : 'none');"><b>Warning</b> (2)</a>: Missing argument 1 for EstimationDocumentsController::detail() [<b>APP\Controller\EstimationDocumentsController.php</b>, line <b>36</b>]<div id="cakeErr5f97a48b6906c-trace" class="cake-stack-trace" style="display: none;"><a href="javascript:void(0);" onclick="document.getElementById('cakeErr5f97a48b6906c-code').style.display = (document.getElementById('cakeErr5f97a48b6906c-code').style.display == 'none' ? '' : 'none')">Code</a> <a href="javascript:void(0);" onclick="document.getElementById('cakeErr5f97a48b6906c-context').style.display = (document.getElementById('cakeErr5f97a48b6906c-context').style.display == 'none' ? '' : 'none')">Context</a><pre id="cakeErr5f97a48b6906c-code" class="cake-code-dump" style="display: none;"><code><span style="color: #000000"><span style="color: #0000BB">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</span><span style="color: #007700">*&nbsp;</span><span style="color: #0000BB">見積情報を取得する。
</span></span></code>
<code><span style="color: #000000"><span style="color: #0000BB">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</span><span style="color: #007700">*/
</span></span></code>
<span class="code-highlight"><code><span style="color: #000000"><span style="color: #0000BB">&nbsp;&nbsp;&nbsp;&nbsp;</span><span style="color: #007700">public&nbsp;function&nbsp;</span><span style="color: #0000BB">detail</span><span style="color: #007700">(</span><span style="color: #0000BB">$estimationNo</span><span style="color: #007700">)&nbsp;{
</span></span></code></span></pre><pre class="stack-trace">EstimationDocumentsController::detail() - APP\Controller\EstimationDocumentsController.php, line 36
ReflectionMethod::invokeArgs() - [internal], line ??
Controller::invokeAction() - CORE\Cake\Controller\Controller.php, line 490
Dispatcher::_invoke() - CORE\Cake\Routing\Dispatcher.php, line 185
Dispatcher::dispatch() - CORE\Cake\Routing\Dispatcher.php, line 160
[main] - APP\webroot\index.php, line 108</pre></div></pre>{"error":{"message":"\u4ed5\u69d8\u3067\u5b9a\u7fa9\u3055\u308c\u3066\u3044\u306a\u3044METHOD\u3067\u3059\u3002"}}

該当のソースコード

public function index() {
　　if($this->request->is('post')){
        if($this->EstimationDocuments->saveAssociated($this->data)) {
            $test_alert = "<script type='text/javascript'>alert('保存しました。');</script>";
            echo $test_alert;
            return json_encode(['success' => 'success', 'data' => $this->request->data]);
        }else{
            $this->response->statusCode(500);
            return json_encode(['error' => ['message' => '保存に失敗しました。']]);
        }
    }
}

<?php echo $this->Form->create('EstimationDocuments', ['id' => 'estimationdocumentEditForm',
                                                        'action' => 'detail',
                                                        'submit' => 'return false',
                                                        'inputDefaults' => ['label' => false, 'div' => false, 'legend' => false] ])?>

<div>
～入力欄のhtml
<li class="line top_blank_line">
    <label>1.償却費(年)</label>

    <input class="fixed_cost_input_width right_rem_blank" name="data['EstimationDocuments']['yearly_depreciation']" data-bind="value: EstimationDocument.fixedCost.depreciation.yearly, event: {focus: EstimationDocument.fixedCost.depreciation.yearly.focus, blur: EstimationDocument.fixedCost.depreciation.yearly.blur}">
</li>
～
<button>見積登録</button>
</div>

<?php echo $this->Form->end(); ?>

質問本文

保存しようとボタンを押すと、上記の分が画面とコンソールに表示されます。
403は閲覧禁止（できない状態）なのは調べて分かったのですが、なぜ403になるのかが分かりません。
原因と解決方法を教えていただきたいです。

補足情報（FW/ツールのバージョンなど）

足りない情報やソースコードがありましたら、コメントにお願いします。
追記します。

Answer 1

色々エラーが出ていますが、403エラーに絞って回答します。

JavaScriptからのPOSTリクエストのようですので、SecurityComponentのフォーム改ざん防止機構かCSRFチェックによってリクエストが弾かれている状態と推察します。

読んでね:
フォーム改ざん防止 - セキュリティ - 2.x
CSRF 防御 - セキュリティ - 2.x

まず、JavaScript側で変更するフォームフィールドはFormHelper::unlockFieldを使い、フォーム改ざんチェックの対象から外します。

$this->Form->unlockField('User.id');

また、CakePHP2のCSRFチェックでは、セッションに格納されたCSRFトークンと、$_POST['data']['_Token']['key'] の値を比較します。
このため、POSTリクエストでは FormHelperによって書き出される <input name="data[_Token][key]" に設定されている値も送信するようにしてください。

Comments

[kuuhaku4262]

urlを貼っていただいた公式マニュアルを見たりしたのですが、専門用語が多く専門用語を調べてもうまく概要がつかめませんでした。
どのようにすれば、理解できるようになれるのでしょうか？

[nojimage]

CSRF脆弱性についてであれば、まずはIPAの出している「安全なウェブサイトの作り方」 https://www.ipa.go.jp/security/vuln/websecurity-HTML-1_6.html を、読むとよいでしょう。
Webアプリケーションのセキュリティ全般についてであれば、書籍の「体系的に学ぶ 安全なWebアプリケーションの作り方 第2版」がその名の通り体系的に学べます。