如何使用 PHP 保护我的 Web 表单免受 CSRF 攻击？

使用 CSRF 令牌保护 Web 表单：包含 PHP 示例的综合指南

跨站请求伪造 (CSRF) 是一种恶意攻击技术利用网络漏洞代表用户执行未经授权的操作。为了保护您的网站免受 CSRF 侵害​​，实施强大的令牌机制至关重要。本文提供了使用 PHP 添加 CSRF 令牌的详细指南，解决了在此过程中面临的挑战。

生成安全令牌

生成 CSRF 令牌时，必须使用可靠的随机源以避免可预测性并确保足够的熵。 PHP 7 提供了 random_bytes() 函数，而 PHP 5.3 可以利用 mcrypt_create_iv() 或 openssl_random_pseudo_bytes() 来实现此目的。避免使用 rand() 或 md5() 等易受攻击的方法。

PHP 7 的示例：

if (empty($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['token'];

PHP 5.3 的示例（或使用ext-mcrypt):

if (empty($_SESSION['token'])) {
    if (function_exists('mcrypt_create_iv')) {
        $_SESSION['token'] = bin2hex(mcrypt_create_iv(32, MCRYPT_DEV_URANDOM));
    } else {
        $_SESSION['token'] = bin2hex(openssl_random_pseudo_bytes(32));
    }
}
$token = $_SESSION['token'];

与表单集成

在 HTML 表单中，包含一个输入字段，用于将生成的 CSRF 令牌安全地传送到服务器：

<input type="hidden" name="token" value="<?php echo $token; ?>">

令牌验证

提交表单后，使用会话中存储的令牌验证提交的令牌：

if (!empty($_POST['token'])) {
    if (hash_equals($_SESSION['token'], $_POST['token'])) {
         // Proceed to process the form data
    } else {
         // Log this as a warning and keep an eye on these attempts
    }
}

每表单令牌和 HMAC

为了提高安全性，请考虑使用每个表单令牌。生成单独的 HMAC 密钥并使用 hash_hmac() 将 CSRF 令牌锁定为特定形式。

$calc = hash_hmac('sha256', '/my_form.php', $_SESSION['second_token']);
if (hash_equals($calc, $_POST['token'])) {
    // Continue...
}

与 Twig 的混合方法

Twig 用户可以利用生成通用函数和锁定函数的自定义函数令牌：

{{ form_token() }}
{{ form_token('/my_form.php') }}

一次性 CSRF 令牌

对于需要一次性令牌的场景，请考虑使用外部库，例如 Paragon Initiative Enterprises 的 Anti- CSRF 库，管理代币赎回和到期。

通过实施这些技术，您可以有效地保护您的网站免受 CSRF 攻击并确保用户交互的完整性。

以上是如何使用 PHP 保护我的 Web 表单免受 CSRF 攻击？的详细内容。更多信息请关注PHP中文网其他相关文章！