php防csrf需绑定用户上下文、设有效期、验证后销毁，用random_bytes()生成令牌，结构化存入session并校验ip与时间，ajax统一注入token，确保session安全配置。
PHP防CSRF不是加个$_SESSION['csrf_token']再比对就完事——令牌若没绑定上下文、没设有效期、没销毁，攻击者照样能重放请求。
生成令牌必须用random_bytes()，别碰md5()和mt_rand()
弱随机源会导致令牌可预测。比如md5(time().rand())这种写法，攻击者只要知道请求大致时间窗口，就能爆破出有效令牌。
- ✅ 正确：用加密安全的随机字节生成32位十六进制字符串：
$token = bin2hex(random_bytes(16)); - ❌ 错误：
$token = md5(uniqid().mt_rand());——uniqid()带时间戳，mt_rand()可被seed推断 - ⚠️ 注意：
random_bytes()在PHP 7+才原生支持；低于7.0需用openssl_random_pseudo_bytes()兜底
令牌必须绑定用户上下文，至少含ip_hash和created_at
只存一个字符串到$_SESSION，等于把门钥匙挂在门把手上——同IP下所有标签页、甚至同一浏览器里的恶意页面都能复用它。
- 存入session时建议结构化：
$_SESSION['csrf_token'] = ['value' => $token, 'created_at' => time(), 'ip_hash' => hash('sha256', $_SERVER['REMOTE_ADDR'] ?? '')]; - 验证前先检查：
time() - $_SESSION['csrf_token']['created_at'] > 3600（超1小时即失效） - 校验IP哈希是否匹配：
hash_equals($_SESSION['csrf_token']['ip_hash'], hash('sha256', $_SERVER['REMOTE_ADDR'] ?? ''))（用hash_equals()防时序攻击）
验证后必须立即销毁或轮换，不支持「多标签页」就别留旧令牌
一次令牌多次使用 = 防护形同虚设。用户开两个编辑页提交，不能靠“同一个token反复用”来妥协，而应改用令牌池机制。
- ❌ 错误做法：验证通过后不做任何清理，下次还能用
- ✅ 基础方案：验证成功后立刻
unset($_SESSION['csrf_token']) - ✅ 进阶方案（支持多标签页）：维护最近3个有效令牌数组，每次生成新令牌时
array_unshift()入栈，验证后array_splice()清除匹配项 - ⚠️ 注意：
$_SESSION写操作后要确保session已保存，避免因session_write_close()提前关闭导致销毁失败
前端传token不能只靠<input type="hidden">，AJAX场景必须统一注入点
表单里塞hidden字段，对纯HTML提交够用；但一旦有JS发起POST/PUT/DELETE，很容易漏传或硬编码，造成防护断层。
- 推荐做法：服务端渲染
<meta name="csrf-token" content="<?php echo htmlspecialchars($token); ?>"> - JS中统一读取：
document.querySelector('meta[name="csrf-token"]').getAttribute('content') - 所有AJAX请求头加上：
X-CSRF-TOKEN: <token></token>（后端据此提取验证） - ⚠️ 注意：
htmlspecialchars()必须做，否则XSS漏洞可能直接泄露token；且meta标签要放在内，确保JS能稳定获取
最常被忽略的一点：CSRF防护失效往往不出现在生成或验证逻辑里，而出现在session存储本身——如果PHP session ID通过URL传递（session.use_trans_sid=On）、或未启用session.cookie_httponly和session.cookie_secure，攻击者连token都不用碰，直接劫持会话就能绕过全部防护。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
