PHP如何实现CSRF令牌？使用场景是什么？底层原理是什么？

最新推荐文章于 2024-12-09 10:16:09 发布

快点好好学习吧

最新推荐文章于 2024-12-09 10:16:09 发布

阅读量1.1k

点赞数 12

分类专栏： PHP 文章标签： php csrf okhttp

本文链接：https://blog.csdn.net/qq_36777143/article/details/142424027

版权

PHP 专栏收录该内容

3090 篇文章

订阅专栏

什么是CSRF令牌

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的Web安全漏洞，攻击者通过诱导用户在已登录的网站上执行非预期的操作。例如，攻击者可以通过诱使用户点击一个恶意链接，来利用用户的认证状态发送请求，从而执行一些操作，如更改密码、转账等。

CSRF令牌是一种防止CSRF攻击的有效方法。它是一个随机生成的值，通常存储在用户的会话中，并且每次表单提交时都必须包含这个令牌。服务器在处理请求时会验证这个令牌，确保请求是由合法用户发起的，而不是由第三方伪造的。

如何在PHP中实现CSRF令牌

以下是在PHP中实现CSRF令牌的基本步骤：

生成和存储CSRF令牌：
- 在用户会话开始时生成一个随机的CSRF令牌。
- 将该令牌存储在用户的会话变量中。
在表单中嵌入CSRF令牌：
- 在每个需要保护的表单中添加一个隐藏字段，将CSRF令牌作为值。
验证CSRF令牌：
- 在服务器端处理表单提交时，验证提交的CSRF令牌是否与会话中的令牌匹配。
- 如果不匹配，则拒绝请求。

示例代码

<?php
session_start();

// 生成并存储CSRF令牌
if (!isset($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32)); // 生成32字节的随机令牌
}

// 显示表单
?>
<!DOCTYPE html>
<html>
<head>
    <title>CSRF Protected Form</title>
</head>
<body>
    <form action="submit.php" method="post">
        <input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars($_SESSION['csrf_token']); ?>">
        <label for="username">Username:</label>
        <input type="text" id="username" name="username"><br><br>
        <label for="password">Password:</label>
        <input type="password" id="password" name="password"><br><br>
        <input type="submit" value="Submit">
    </form>
</body>
</html>

<?php
// submit.php - 处理表单提交
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (isset($_POST['csrf_token']) && isset($_SESSION['csrf_token']) && hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        // CSRF令牌验证成功，处理表单数据
        $username = $_POST['username'];
        $password = $_POST['password'];

        // 这里可以进行数据库操作或其他业务逻辑
        echo "Form submitted successfully! Username: $username, Password: $password";
    } else {
        // CSRF令牌验证失败
        http_response_code(403);
        echo "CSRF token validation failed. Please try again.";
    }
}
?>