yii2学习之CSRF验证

什么是CSRF

---

CSRF（跨站请求伪造），通过盗用你的身份，发送一些恶意请求，比如更改用户密码、删除账户、发送邮件、以你的身份购买商品等。

攻击原理：用户A访问网站B，登录验证通过后会在用户A的浏览器中产生登录B网站的cookie，这时用户A在没有退出登录情况下访问恶意网站C，C的网站中有去请求网站B的Request，浏览器会带着之前的cookie去请求B，而B无法分别是用户A发出的还是网站C发出的，固恶意网站C就可以模拟用户请求。

如何防止CSRF攻击

---

目前大多数网站都是采取服务端进行CSRF防御，就是在客户端页面增加伪随机数，服务端返回浏览器信息时setcookie添加相应字段，表单提交数据时增加隐藏字段，该字段根据cookie中的字段，进行md5、base64等处理后以隐藏的hash值post给服务器，然后服务端对表单中的hash值进行验证以确保请求是用户发送的。

攻击者攻击的原理是利用了客户端的COOKIE，但是攻击者是得不到COOKIE具体的内容的，他只是利用。所以攻击者没法在模拟攻击URL中加入token，这样就无法通过验证。

Yii2的CSRF机制

---

1. 在yii2工程的environments->index.php下添加工程的setCookieValidationKey需要的路径。

   'setCookieValidationKey' => [
           'backend/config/main-local.php',
           'frontend/config/main-local.php',
   ],

   在执行init时，会调用init.php中setCookieValidationKey函数根据配置的路径生成对应cookieValidationKey 32位随机串。

   $config = [
       'components' => [
           'request' => [
               // !!! insert a secret key in the following (if it is empty) - this is required by cookie validation
               'cookieValidationKey' => 'nvgfNbUkW3NjixwbQudkQdAm_D6JB9c8',
           ],
       ],
   ];

   该值会在Response浏览器时将cookie中的value数据通过sha256加密（cookieValidationKey是加密key）后再与value拼接作为新的value通过setcookie传给浏览器缓冲。相应代码如下：

   foreach ($this->getCookies() as $cookie) {
       $value = $cookie->value;
       if ($cookie->expire != 1  && isset($validationKey)) {
          $value = Yii::$app->getSecurity()->hashData(serialize([$cookie->name, $value]), $validationKey);
       }
       setcookie($cookie->name,