こんにちわ。
現在、RC1にて製造を行っています。

とあるフォームにて以下のようなhidden値を出力しました。


このフォームはSecurityコンポーネントにおけるチェックを行います。

つまり、以下のようなフォームでPOSTされます。


しかし、このPOSTリクエストはセキュリティーチェックエラーとなります。

原因を調べていくと、フォーム内data[__Token][fields]値とセキュリティコンポーネントが生成したfields値が異なっていた為と判明しました。
両者のfields値は項目のhash値なのですが、フォーム出力時のhash化対象配列が

なのに対し、セキュリティコンポーネントでは

だったからです。
（hiddenに0以外の値を入れると問題ありません）

みなさん、hiddenに0は入れないのでしょうか？
それとも、私の使い方に間違いがあるのでしょうか？

宜しくお願いします。

当方も同じところでつまっております。
その後、解決方法は見いだせましたでしょうか？
よろしくお願いします。

改善策が見当たらなかった為、以下のようにしました。
参考までに手法を載せておきます。

・hiddenに入れるはずの値一式をSessionに保持。
・Sessionに保持した値のhash値をhiddenに出力。
・FormからのPOSTリクエストを受け取るコントローラでSessionに保持した値のHash値とPOSTリクエストのHash値が一致するか判定。
・一致したら、Sessionに存在する値を使用していく。

ご参考になればと思います。
また、別の手法を考えられて方がいましたら、投稿願えたらと思います。

こちらでも確認できました。
チケットか、テストケースを書いたほうがよいと思いますが、書けますか？

views/add.ctp


posts_controller.php

Securityコンポーネントの __validatePost() と、 Formヘルパーの secure() を比較すると答えが出そうです。
（また明日。）

shun様、返答をいただきありがとう御座います。

早速ではありましたが、本家のtracにてBUGチケットを切ってきました。
英語は苦手で、本当ならshun様にお願いしようかとも思いましたが、「何事も勉強」の気持ちで登録してきました。

https://trac.cakephp.org/ticket/5061#preview

Ticketありがとうございました。
とりあえずは、value="0" になるときには、value="" としてしまう、などで逃げ切れるでしょうか。

複数選択可能なチェックボックスやリストメニューで、なにも選択しなかった場合も、同様の現象が起こりました。
やはり原因は
$formと$checkが一致しないことのようです。

セキュリティコンポーネントまわりは、まだまだバグが多いですね・・・

私の場合は、次のような複数チェックボックスで、何かひとつでも選択するとエラーになってしまいました。

<input type="hidden" name="data[_User][prefecture]" value="" />
<div class="checkbox"><input type="checkbox" name="data[User][prefecture][]" value="1" id="UserPrefecture1" /><label for="UserPrefecture1">北海道</label></div>
<div class="checkbox"><input type="checkbox" name="data[User][prefecture][]" value="2" id="UserPrefecture2" /><label for="UserPrefecture2">青森県</label></div>
<div class="checkbox"><input type="checkbox" name="data[User][prefecture][]" value="3" id="UserPrefecture3" /><label for="UserPrefecture3">岩手県</label></div>
....

最新版（公式リリースでない）でも同様でした。仕様なのでしょうか？

私には解決できません；

shunさん、あとはお任せします・・・ｗ

その後、修正パッチが公開されましたので報告します。
公式パッチなのか否かは僕には分かりませんのでご了承ください。

https://trac.cakephp.org/ticket/5061