大きな混乱を招く問題、CSRF 攻撃を効果的に防ぐ方法
インターネット上には
$_SERVER['HTTP_REFERER']
を使用する方法があります。しかし、一部の記事では、
リファラーが次のような可能性があることも指摘しています。偽造
たとえば
header("referer:www.aaa.com")
...
?>
試してみたところ、どうやらコンソールで確認しました。リファラーは変更されました
ですが、$_SERVER['HTTP_REFERER'] は空です。つまり、問題はないようです
では、このパラメーターは機能しますか?それを防ぐことはできるでしょうか？
------解決策---------
CSRF は信頼できるユーザーからのリクエストを偽装することによって発生します 信頼できる Web サイトを利用します
$_SERVER['HTTP_REFERER'] の使用は明らかに許可されていません。偽造される可能性があるからです (あなたもご存知でしょう)
フォームの場合、インスタント リリースを配置できます ランダムな文字列 (トークン) または検証コード
通常のページの場合、ajax 経由でパスワードを取得できます (ajax はクロスドメインではなく、js の動作をシミュレートするのは技術的に難しいため)
ページのオブジェクト (画像、写真など) を渡すこともできます。中間段階と後の段階でロードされるファイル) は、追加の Cookie 変数を渡すために使用されます
パッシブ防御中に、ページ内の不明な接続をフィルターで除外できます
------解決策------
Baidu Curl シミュレーション ログインを使用すると、PHP 実践 QQ グループ: 33918040
unset（）とsession_destroy（）の違いは何ですか？May 04, 2025 am 12:19 AMthedifferencebetferencefued fieneunset（）andsession_destroy（）isthatunset（）clearsspecificsessionvariablesはsessionactiveであり、ssession_destroy（）ターミナテンテンセッション
負荷分散のコンテキストでの粘着性セッション（セッションアフィニティ）とは何ですか？May 04, 2025 am 12:16 AMStickysionsionsureuserRequestsoredtotheSameserverforsessiondataconsistency.1）Sessionidedificationisionidificationsisignivisionsignsignsuserstoserversusing okiesorurlmodifications.2）CondingRoutingDirectSSubSubSubsEntRequestStotheSameserver.3）LoadBalancingDistributeNewuser
PHPで利用可能なさまざまなセッション保存ハンドラーは何ですか？May 04, 2025 am 12:14 AMphpoffersvarioussionsionsavehandlers：1）ファイル：デフォルト、simplebutmaybottleneckonhigh-trafficsites.2）memcached：high-performance、yealforspeed-criticalapplications.3）redis：similartomcached、witordededpersistence.4）データベースの提供
PHPでのセッションとは何ですか？なぜそれらが使用されているのですか？May 04, 2025 am 12:12 AMPHPでのセッションは、サーバー側のユーザーデータを保存して、複数のリクエスト間で状態を維持するメカニズムです。具体的には、1）セッションはsession_start（）関数によって開始され、データは保存され、$ _Sessionスーパーグローバルアレイを読みます。 2）セッションデータはデフォルトでサーバーの一時ファイルに保存されますが、データベースまたはメモリストレージを介して最適化できます。 3）セッションを使用して、ユーザーのログインステータス追跡とショッピングカート管理機能を実現できます。 4）セッションの安全な送信とパフォーマンスの最適化に注意を払い、アプリケーションのセキュリティと効率を確保します。
PHPセッションのライフサイクルを説明してください。May 04, 2025 am 12:04 AMphpssionsStartWithsession_start（）、figenateAuniqueidandcreateSaServerfile; theySistacrossRequestsandcanbemanbemanBeithsession_destroy（）
絶対的なセッションタイムアウトとアイドルセッションのタイムアウトの違いは何ですか？May 03, 2025 am 12:21 AM絶対セッションのタイムアウトはセッションの作成時に開始され、アイドルセッションタイムアウトはユーザーの操作なしに開始されます。絶対セッションタイムアウトは、金融アプリケーションなど、セッションライフサイクルの厳格な制御が必要なシナリオに適しています。アイドルセッションタイムアウトは、ソーシャルメディアなど、ユーザーが長い間セッションをアクティブに保つことを望んでいるアプリケーションに適しています。
セッションがサーバーで機能していない場合、どのような措置を講じますか？May 03, 2025 am 12:19 AMサーバーセッションの障害は、手順に従って解決できます。1。セッションが正しく設定されていることを確認するために、サーバーの構成を確認します。 2.クライアントCookieを確認し、ブラウザがそれをサポートしていることを確認し、正しく送信します。 3. Redisなどのセッションストレージサービスを確認して、それらが正常に動作していることを確認します。 4.アプリケーションコードを確認して、正しいセッションロジックを確認します。これらの手順を通じて、会話の問題を効果的に診断および修復し、ユーザーエクスペリエンスを改善することができます。
session_start（）関数の重要性は何ですか？May 03, 2025 am 12:18 AMsession_start（）iscrucialinphpformangingusersions.1）itInitiateSanewsessionifnoneExists、2）resumesanexistingsession、および3）SetSessionCookieforcontinuityAcrossRequests、ApplicationslicationSliviseSlikeUserauthicationAnticatent。
ホットAIツール
Undresser.AI Undress
リアルなヌード写真を作成する AI 搭載アプリ
AI Clothes Remover
写真から衣服を削除するオンライン AI ツール。
Undress AI Tool
脱衣画像を無料で
Clothoff.io
AI衣類リムーバー
Video Face Swap
完全無料の AI 顔交換ツールを使用して、あらゆるビデオの顔を簡単に交換できます。
人気の記事
ホットツール
mPDF
mPDF は、UTF-8 でエンコードされた HTML から PDF ファイルを生成できる PHP ライブラリです。オリジナルの作者である Ian Back は、Web サイトから「オンザフライ」で PDF ファイルを出力し、さまざまな言語を処理するために mPDF を作成しました。 HTML2FPDF などのオリジナルのスクリプトよりも遅く、Unicode フォントを使用すると生成されるファイルが大きくなりますが、CSS スタイルなどをサポートし、多くの機能強化が施されています。 RTL (アラビア語とヘブライ語) や CJK (中国語、日本語、韓国語) を含むほぼすべての言語をサポートします。ネストされたブロックレベル要素 (P、DIV など) をサポートします。
PhpStorm Mac バージョン
最新(2018.2.1)のプロフェッショナル向けPHP統合開発ツール
ZendStudio 13.5.1 Mac
強力な PHP 統合開発環境
SublimeText3 Mac版
神レベルのコード編集ソフト（SublimeText3）
DVWA
Damn Vulnerable Web App (DVWA) は、非常に脆弱な PHP/MySQL Web アプリケーションです。その主な目的は、セキュリティ専門家が法的環境でスキルとツールをテストするのに役立ち、Web 開発者が Web アプリケーションを保護するプロセスをより深く理解できるようにし、教師/生徒が教室環境で Web アプリケーションを教え/学習できるようにすることです。安全。 DVWA の目標は、シンプルでわかりやすいインターフェイスを通じて、さまざまな難易度で最も一般的な Web 脆弱性のいくつかを実践することです。このソフトウェアは、
