ctf从入门到放弃：token 与 csrf 的防范190514

Token是如何防止CSRF的？

CSRF的主要问题是敏感操作的链接容易被伪造，那么如何让这个链接不容易被伪造？
-每次请求，都增加一个随机码（需要够随机，不容易伪造），后台每次对这个随机码进行验证！

用bp抓包，post型的：

CSRF（token）项目的token生成代码：

有两点注意：
1.要生成新的
2.销毁旧的

最后，在后台有个这样的判断：
$_GET[]= $_SESSION[] 里面的是token
值，行了才能通过。

除了token，还有防范：

最后一点，验证码是人机交互的过程，
最好是登陆时用，修改信息提交的表单最好不要用。
不人性化，太麻烦，产品经理不会让你过的。。。