php mysql可以跨站_PHP_php中防止伪造跨站请求的小招式，伪造跨站请求介绍 伪造跨 - phpStudy...

php中防止伪造跨站请求的小招式

伪造跨站请求介绍

伪造跨站请求比较难以防范，而且危害巨大，攻击者可以通过这种方式恶作剧，发spam信息，删除数据等等。这种攻击常见的表现形式有：

伪造链接，引诱用户点击，或是让用户在不知情的情况下访问

伪造表单，引诱用户提交。表单可以是隐藏的，用图片或链接的形式伪装。

比较常见而且也很廉价的防范手段是在所有可能涉及用户写操作的表单中加入一个随机且变换频繁的字符串，然后在处理表单的时候对这个字符串进行检查。这个随机字符串如果和当前用户身份相关联的话，那么攻击者伪造请求会比较麻烦。

yahoo对付伪造跨站请求的办法是在表单里加入一个叫.crumb的随机串;而facebook也有类似的解决办法，它的表单里常常会有post_form_id和fb_dtsg。

随机串代码实现

咱们按照这个思路，山寨一个crumb的实现，代码如下：

复制代码 代码如下:

class Crumb {

CONST SALT = "your-secret-salt";

static $ttl = 7200;

static public function challenge($data) {

return hash_hmac('md5', $data, self::SALT);

}

static public function issueCrumb($uid, $action = -1) {

$i = ceil(time() / self::$ttl);

return substr(self::challenge($i . $action . $uid), -12, 10);

}

static public function verifyCrumb($uid, $crumb, $action = -1) {

$i = ceil(time() / self::$ttl);

if(substr(self::challenge($i . $action . $uid), -12, 10) == $crumb ||

substr(self::challenge(($i - 1) . $action . $uid), -12, 10) == $crumb)

return true;

return false;

}

}

代码中的$uid表示用户唯一标识，而$ttl表示这个随机串的有效时间。

应用示例

构造表单

在表单中插入一个隐藏的随机串crumb

复制代码 代码如下:

处理表单 demo.php

对crumb进行检查

复制代码 代码如下:

if(Crumb::verifyCrumb($uid, $_POST['crumb'])) {

//按照正常流程处理表单

} else {

//crumb校验失败，错误提示流程

}

?>相关阅读:

将阿拉伯数字转换为汉字数字,支持到百万亿

验证用户是否修改过页面的数据的实现方法

js 全兼容可高亮二级缓冲折叠菜单

Javascript在IE和FF里的兼容问题

基于json的jquery地区联动效果代码

FF下zoom的替代方案 单位em

js textarea自动增高并隐藏滚动条

一个正则的写法 php

Oracle启动但不能登录故障解决方法

Ajax初试之读取数据篇实现代码

在Vista、Win7下联网玩QQ对战平台、浩方、帝国时代2

Shell学习：关于替换命令-tr-ROT13法则

完全卸载MySQL数据库5.0的具体方法

php getsiteurl()函数