请解释PHP中的表单令牌（CSRF令牌）

表单令牌（CSRF令牌）是一种用于防止跨站请求伪造（Cross-Site Request Forgery，简称CSRF）攻击的安全机制。在PHP中，通过生成和验证表单令牌可以有效地防止恶意用户利用用户身份进行非授权的操作。

CSRF攻击是指攻击者通过 ** 用户在应用程序中执行非自愿的操作。攻击者通常会诱使用户点击一个链接、访问一个准备好的页面或者点击一个图片等方式。这样一来，攻击者就能够利用用户在目标网站上的身份，执行一些恶意操作，如修改密码、删除数据等。

为了防止CSRF攻击，可以使用表单令牌来验证每个表单请求的合法性。下面是使用表单令牌的基本原理和步骤：

1. 在生成表单页面时，服务器会生成一个随机的令牌，并将其嵌入到表单的隐藏字段中。这个令牌可以通过调用csrf_token()函数生成，然后在表单中加入一个隐藏字段，例如：

   <input type="hidden" name="csrf_token" value="<?php echo csrf_token(); ?>">
   

2. 当用户提交表单时，服务器端需要验证令牌的有效性。可以通过比较请求中的令牌与服务器端存储的令牌是否一致来进行验证。如果令牌不匹配，说明表单请求可能是恶意的，服务器可以拒绝该请求或者采取其他措施。

   // 在服务器端验证令牌的有效性
   session_start();
   
   if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {
       // 令牌验证失败，拒绝请求或执行其他操作
       die("Invalid CSRF token");
   }
   

3. 为了增加安全性，每个令牌应该是唯一的，并且每次请求都应该生成一个新的令牌。这样即使攻击者截获了一个有效的令牌，也无法再次使用。

通过实现表单令牌的验证机制，可以防止恶意用户利用用户身份执行非授权的操作，提高网站的安全性。在PHP中，可以使用内置的session机制来存储令牌值，并通过比较令牌的方式进行验证。