表单form跨站请求伪造CSRF防御

原创已于 2023-07-27 10:27:47 修改 · 571 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#csrf #前端 #web安全

于 2022-03-16 16:48:11 首次发布

php 同时被 2 个专栏收录

98 篇文章

订阅专栏

安全

3 篇文章

订阅专栏

该博客详细介绍了CSRF（跨站请求伪造）防御的逻辑流程，包括在用户访问表单页面时生成Token，将其存储在缓存中，并在表单提交时验证Token的一致性以防止非法请求。提供了生成Token的公共函数、HTML表单以及控制器中的验证代码，确保了表单提交的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

CSRF防御逻辑流程：

用户访问某个表单页面。
服务端生成一个Token，放在用户的Session中，或者浏览器的Cookie中。（我放在缓存中）
在页面表单附带上Token参数。
用户提交请求后，服务端验证表单中的Token是否与用户Session（或Cookies）中的Token一致，一致为合法请求，不是则非法请求。

以下是代码参考

公共函数：

/**
 * 跨站请求伪造CSRF防御（表单提交使用，单页面多表单请使用 控制器/接口 传值共同使用）
 *
 * @return string
 *
 * @author qinglin
 */
function csrfToken(){
    $csrfToken = md5(rand());
    cache(session::getid().'_csrf_token', $csrfToken);
    return $csrfToken;
}

html表单：

<input type="hidden" name="csrf_token" value="{:csrfToken()}">

控制器表单提交：

// 跨站请求伪造CSRF防御
if(!isset($params['csrf_token']) || cache(session::getid().'_csrf_token') != $params['csrf_token']){
    $this->error('系统检测行为非法提交，请刷新页面重新填写提交');
}