PHP 框架安全指南：如何防止 CSRF 攻擊？

PHP 框架安全指南：如何防止 CSRF 攻擊？

跨站點請求偽造 (CSRF) 攻擊是一種網路攻擊，其中攻擊者誘騙用戶在受害者的網路應用程式中執行非預期操作。

CSRF 如何運作？

CSRF 攻擊利用了一個事實：大多數 Web 應用程式允許在同一個網域內不同頁面之間發送請求。攻擊者會建立惡意頁面，該頁面向受害者的應用程式發送請求，觸發未經授權的操作。

如何防止 CSRF 攻擊？

1. 使用反 CSRF 令牌：

• 向每個使用者指派一個唯一的令牌，將其儲存在會話或 Cookie 中。
• 在應用程式中包含一個隱藏字段，用於提交該令牌。
• 驗證提交的令牌與儲存的令牌相符。

// 生成令牌并存储在会话中
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));

// 在表单中包含隐藏字段
<input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">

// 验证提交的令牌
if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    // 令牌无效，拒绝请求
}

2. 使用同步器令牌模式(Synchronizer Token Pattern)：

• 在首次載入頁面時，產生令牌並將其儲存在Cookie 中。
• 在表單提交時，將令牌作為 HTTP 頭髮送到伺服器。
• 驗證提交的令牌與儲存的令牌相符。

// 在首次加载页面时生成令牌并存储在 Cookie 中
setcookie('csrf_token', bin2hex(random_bytes(32)), time() + 3600, '/');

// 在表单提交时，将令牌作为 HTTP 头发送
$headers = getallheaders();
$csrf_token = $headers['X-CSRF-Token'];

// 验证提交的令牌
if (!isset($csrf_token) || $csrf_token !== $_COOKIE['csrf_token']) {
    // 令牌无效，拒绝请求
}

實戰案例

例如，阻止對錢包中資金轉帳的CSRF 攻擊：

// 在用户加载转账页面时生成令牌
$transfer_token = bin2hex(random_bytes(32));

// 在表单中包含隐藏字段
<input type="hidden" name="transfer_token" value="<?php echo $transfer_token; ?>">

// 验证提交的令牌
if (!isset($_POST['transfer_token']) || $_POST['transfer_token'] !== $transfer_token) {
    // 令牌无效，拒绝转账请求
}

透過實作這些措施，您可以有效地防止CSRF 攻擊，保護您的PHP 應用程式。

以上是PHP 框架安全指南：如何防止 CSRF 攻擊？的詳細內容。更多資訊請關注PHP中文網其他相關文章！