php中token作用原理,csrf_token简单原理实现

我们知道laravel里面有一个csrf_token,特别在有表单提交的时候，避免网络原因重复提交或者，非法手段curl模拟不断请求，都是有一定的帮助。别小看，好像也就这样但是却非常实用。

按照我的理解，这种技巧很简单的做法就是用session就可以完成。CSRF(Cross-site request forgery)又叫跨站请求伪造，而要做到预防，原理可以用session产生一个token，因为：

Token只要足够随机————这样不可预测

Token是一次性的，即每次请求成功后要更新Token————这样可以增加攻击难度，增加预测难度，尤其是限制了要刷新页面，也就限制了伪造者的难度。

以下这是一个简单的csrf_token函数

//每次请求的时候就进行获取csrf_token

function csrf_token() {

$token = md5(time().uniqid(rand(100,99999), true));

$time = time();

$_SESSION['csrf_token']['token'] = $token;

$_SESSION['csrf_token']['time'] = $time;

}

//每次提交请求的时候就验证token

function check_csrf_token($expire = 120) {

if($_POST['_token'] != $_SESSION['csrf_token']['token']){

return false;

}

if(time()-$_SESSION['csrf_token']['time'] > $expire){

return false;

}

unset($_SESSION['csrf_token']);

return true;

}

而在Laravel中的实现就是，再有需要的地方，也就是路由上进行继承一个过滤器，然后每次提交请求的时候，会自动优先验证过滤器，过滤器如图：