CSRF via http header? - Printable Version

PHP Code:

<?php
namespace App\Filters;

use CodeIgniter\Filters\FilterInterface;
use CodeIgniter\HTTP\RequestInterface;
use CodeIgniter\HTTP\ResponseInterface;
use CodeIgniter\Services;

class ApiAuth implements FilterInterface {

    /**
     * Do whatever processing this filter needs to do.
     * By default it should not return anything during
     * normal execution. However, when an abnormal state
     * is found, it should return an instance of
     * CodeIgniter\HTTP\Response. If it does, script
     * execution will end and that Response will be
     * sent back to the client, allowing for error pages,
     * redirects, etc.
     *
     * @param \CodeIgniter\HTTP\RequestInterface $request
     *
     * @return mixed
     */
    public function before( RequestInterface $request ) {
        if ( ! $request->getHeader('Authorization') || $request->getHeaderLine('Authorization') !== 'SUPERTOKEN') {
            $response = Services::response();
            return $response->setJSON(['res' => 'Unauthorized']);
        }
    }

    /**
     * Allows After filters to inspect and modify the response
     * object as needed. This method does not allow any way
     * to stop execution of other after filters, short of
     * throwing an Exception or Error.
     *
     * @param \CodeIgniter\HTTP\RequestInterface $request
     * @param \CodeIgniter\HTTP\ResponseInterface $response
     *
     * @return mixed
     */
    public function after( RequestInterface $request, ResponseInterface $response ) {
        // TODO: Implement after() method.
    }
}

PHP Code:

<?php namespace Config;

use App\Filters\ApiAuth;
use CodeIgniter\Config\BaseConfig;

class Filters extends BaseConfig
{
    // Makes reading things below nicer,
    // and simpler to change out script that's used.
    public $aliases = [
        'csrf'       => \App\Filters\CSRF::class,
        'toolbar' => \App\Filters\DebugToolbar::class,
        'honeypot' => \App\Filters\Honeypot::class,
        'api-auth' => ApiAuth::class
    ];

    // Always applied before every request
    public $globals = [
        'before' => [
            //'honeypot'
            'csrf' => ['except' => [
                'api/*'
            ]],
        ],
        'after'  => [
            'toolbar',
            //'honeypot'
        ]
    ];

    public $methods = [];

    public $filters = [
        'api-auth' => ['before' => ['api*']]
    ];
}