CakePHP2でformタグ直書きでCSRF対策

#はじめに
CakePHP2でFormヘルパーを使わずにformタグを直書きしたい場合、
CSRFトークンのタグだけを出力するメソッドが
フレームワーク側で用意されていないためCSRF対策で困ることになります。

今回はCSRFトークンのタグを出力する方法を書きます。

#環境
PHP 7.3
CakePHP 2.10
Smarty3

#実装方法
###１．ヘルパーを作成
View/Helperディレクトリに以下のクラスを作成します。
（クラス名などは適当に）

View/Helper/MyFormHelper.php

App::uses('FormHelper', 'View/Helper');

class MyFormHelper extends FormHelper {
	public function csrfField(){
		return $this->_csrfField();
	}
}

デフォルトのFormHelperにて、
_csrfFieldメソッドがCSRFトークンのinputタグを出力しているのですが、
protectedで定義してあったので、継承してpublicメソッドでラッピングしただけです。

###２．ヘルパーをViewで使用する
お好きなコントローラの$helpersに
さきほど作成したクラスを追加して
View側のformタグ内でメソッドを実行すればOKです。

class AppController extends Controller {
	~
	public $helpers = array('MyForm');
	~
}

<form action="" method="POST">
{$this->MyForm->csrfField()}
<button type="submit">送信</button>
</form>

###３．セキュリティコンポーネントの設定
ついでにSecurityコンポーネントの設定も

$this->Security->validatePost = false; // フォーム改ざん検知をOFF
$this->Security->csrfCheck = true;  // CSRFトークンチェックをON
$this->Security->csrfUseOnce = false; // CSRFトークンの使用回数１回の制限をOFF Ajaxを使用する場合必要

今回フォーム改ざん検知用のタグは出力していないので
validatePost＝false

CSRFトークンチェックを有効にしたいため
csrfCheck＝true

AjaxでCSRFトークンを使用する場合は使用回数１回の制限解除する必要があるので
csrfUseOnce＝false

#まとめ
CakePHPが推奨している方法ではないので、この方法で安全とは保証はできません。
あくまでも自己責任でおねがいします。