使用CakePHP（2.4）和SecurityComponent提交大型可扩展表单的最安全方法是什么？
我的应用程序上有一个表单，它创建了新的字段来使用jQuery存储新的子记录（以及sub-子记录）。这与Cake的SecurityComponent相冲突，后者要求提交表单上的所有字段都由FormHelper在服务器端创建。
在过去，当我只保存一个关联中的记录时，我可以将字段用户端限制为一个高但可行的数字，如100，并明确解锁表单可能生成的每个字段：
while($i < 100){
$this->Form->unlockField('ChildModel.' . $i . '.value'); $i++;
// unlock other fields for that possible record
}
但是，使用这个新表单，我必须保存的数据不是一个而是两个关系。用户可能会创建大量的子记录或子记录，因此名称空间ChildModel.[1-100].field, ChildModel.[1-100].GrandchildModel.[1-100].field开始变得巨大。解锁一个包含数万个可能字段的命名空间，其中很少会被使用，但所有字段都可能被需要，这听起来真的很疯狂。
其他CakePHP开发人员找到了什么解决方案来解决这个问题？我想这是其他人遇到过的情况，在这种情况下，禁用整个操作的安全性根本不是一种选择。
就我个人而言，我是这样做的：
-
使用AJAX将要创建的动态字段的信息发送回服务器
-
用新的输入生成表格
-
从生成的表单HTML中提取令牌值，并将它们与新字段的生成HTML一起传递回
-
将生成的HTML和令牌值注入现有表单
-
？？？
-
利润！
这是一个从旧项目中剥离出来的非常基本的例子，它用于为单个关联添加额外的输入。
服务器端：
App::uses('Xml', 'Utility');
$formHtml = $this->Form->create('Model');
$this->Form->input('some_field');
$this->Form->input('also_a_field');
$dynamicInputs = array();
for($i = 0; $i < $numberOfEntries; $i ++)
{
$dynamicInputs[] = $this->Form->input('AssociatedModel.' . $i . '.field');
}
$formHtml .= $this->Form->end();
$xml = Xml::build($formHtml);
$formData = Xml::toArray($xml);
$data = array
(
'token' => array
(
'key' => array
(
'id' => $formData['form']['div'][0]['input'][1]['@id'],
'value' => $formData['form']['div'][0]['input'][1]['@value']
),
'fields' => array
(
'id' => $formData['form']['div'][2]['input'][0]['@id'],
'value' => $formData['form']['div'][2]['input'][0]['@value']
),
'unlocked' => array
(
'id' => $formData['form']['div'][2]['input'][1]['@id'],
'value' => $formData['form']['div'][2]['input'][1]['@value']
)
),
'dynamicInputs' => $dynamicInputs
);
echo json_encode($data);
前端（使用jQuery）：
var form = $('#my-form');
function addEntry()
{
var inputs = form.find('.associated-model .input');
var numberOfEntries = inputs.length + 1;
$.ajax({
url: '/controller/action/whatever',
type: 'POST',
data: 'numberOfEntries=' + numberOfEntries + '&' + form.serialize(),
dataType: 'json',
success: function(data)
{
updateForm(data);
}
});
}
function updateForm(data)
{
var tokenKey = form.find('input[name=''data[_Token][key]'']');
tokenKey.attr('id', data.token.key.id);
tokenKey.attr('value', data.token.key.value);
var tokenFields = form.find('input[name=''data[_Token][fields]'']');
tokenFields.attr('id', data.token.fields.id);
tokenFields.attr('value', data.token.fields.value);
var tokenUnlocked = form.find('input[name=''data[_Token][unlocked]'']');
tokenUnlocked.attr('id', data.token.unlocked.id);
tokenUnlocked.attr('value', data.token.unlocked.value);
form.find('.associated-model').empty().append(data.dynamicInputs.join(''n'));
}