如何在 PHP 中正确生成并验证 CSRF Token 以防止跨站请求伪造-php教程-PHP中文网

如何在 PHP 中正确生成并验证 CSRF Token 以防止跨站请求伪造

本文详解如何通过 php 的 $_session 安全生成、传递和验证一次性 csrf token，避免因重复调用随机函数导致令牌不一致的问题，并提供可直接复用的完整示例代码。

本文详解如何通过 php 的 $_session 安全生成、传递和验证一次性 csrf token，避免因重复调用随机函数导致令牌不一致的问题，并提供可直接复用的完整示例代码。

在表单防伪造（CSRF）防护中，核心原则是：Token 必须在页面渲染时生成一次，并同时写入 Session 和表单字段；后续提交时仅比对，绝不重新生成。你遇到的 $_SESSION['token'] 值在跳转后变化，根本原因在于——你在标签内嵌入了执行逻辑（session_start(); $_SESSION['token'] = ...; echo ...），导致每次 HTML 渲染（甚至浏览器预加载、服务端缓存或多次访问）都触发新 Token 赋值，破坏了一致性。

✅ 正确做法：分离生成与输出逻辑。Token 应在页面逻辑层（PHP 处理阶段）统一生成并存入 Session，再安全输出到隐藏域中：

<?php session_start();
// ✅ 在页面顶部一次性生成并保存 Token（仅执行一次）
if (!isset($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(10)); // 20位十六进制字符串，高熵且安全
}
?>

在接收页（如 process.php）中，必须再次调用 session_start() 恢复会话，并严格比对：

PHP 8.5.5

PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。

下载

<?php session_start();

// ❌ 错误：未检查 $_POST 或 $_REQUEST 是否存在即访问
// ✅ 正确：先验证请求方法和参数存在性
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['token'])) {
    if (hash_equals($_SESSION['token'] ?? '', $_POST['token'])) {
        echo "✅ Token 验证通过，执行业务逻辑";
        // 执行关键操作（如修改密码、转账等）

        // ? 可选：一次性 Token，验证后立即销毁（增强安全性）
        unset($_SESSION['token']);
    } else {
        http_response_code(403);
        echo "❌ Token 不匹配，拒绝请求（可能遭遇 CSRF 攻击）";
    }
} else {
    http_response_code(400);
    echo "❌ 无效请求";
}

⚠️ 关键注意事项：