Google api 我在哪里生成Google+；登录API反请求伪造状态令牌？

我正在使用此指南：。 步骤2说明“创建反请求伪造状态令牌”，并给出以下示例代码：

// Create a state token to prevent request forgery.
// Store it in the session for later validation.
  $state = md5(rand());
  $app['session']->set('state', $state);
  // Set the client ID, token state, and application name in the HTML while
  // serving it.
  return $app['twig']->render('index.html', array(
      'CLIENT_ID' => CLIENT_ID,
      'STATE' => $state,
      'APPLICATION_NAME' => APPLICATION_NAME
  ));

我应该把代码放在哪里？我不知道。在第7步中，我尝试将其放在服务器确认之前，但这似乎是错误的。我得到一个内部服务器错误。我试着把它放在登录按钮所在页面的HTML之前。页面甚至无法加载

---

谷歌的教程看起来真的很糟糕。其中一个答案说教程中的代码不完整。这是真的吗？有谁知道更好的最新指南吗？

这需要在服务器端完成，作为返回页面时要做的事情之一。如果您使用的是MVC框架，并且此代码假定您正在使用或至少正在使用模板引擎，那么这应该是处理发送回页面的控制器的一部分。

为了安全起见，是否必须使用HTML服务器端呈现该页面？如果我的页面是带有ajax（Web2.0）的静态HTML，我可以创建一个Web服务，返回状态令牌并使用ajax调用它，而不影响安全性吗？@marquez-简短回答：是的，您可以通过google+登录来实现。阅读问题中url处的文档，如果您有特定的问题或顾虑，可以作为新的SO问题提问。