2024-05-23

PHP 框架安全指南:如何防止 CSRF 攻击?

php 框架安全指南:如何防止 csrf 攻击?

PHP 框架安全指南:如何防止 CSRF 攻击?

跨站点请求伪造 (CSRF) 攻击是一种网络攻击,其中攻击者诱骗用户在受害者的网络应用程序中执行非预期操作。

CSRF 如何工作?

CSRF 攻击利用了一个事实:大多数 Web 应用程序允许在同一个域名内不同页面之间发送请求。攻击者创建恶意页面,该页面向受害者的应用程序发送请求,触发未经授权的操作。

如何防止 CSRF 攻击?

1. 使用反 CSRF 令牌:

  • 向每个用户分配一个唯一的令牌,将其存储在会话或 Cookie 中。
  • 在应用程序中包含一个隐藏字段,用于提交该令牌。
  • 验证提交的令牌与存储的令牌匹配。
// 生成令牌并存储在会话中
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));

// 在表单中包含隐藏字段
<input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">

// 验证提交的令牌
if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    // 令牌无效,拒绝请求
}
登录后复制

2. 使用同步器令牌模式 (Synchronizer Token Pattern):

  • 在首次加载页面时,生成令牌并将其存储在 Cookie 中。
  • 表单提交时,将令牌作为 HTTP 头发送到服务器。
  • 验证提交的令牌与存储的令牌匹配。
// 在首次加载页面时生成令牌并存储在 Cookie 中
setcookie('csrf_token', bin2hex(random_bytes(32)), time() + 3600, '/');

// 在表单提交时,将令牌作为 HTTP 头发送
$headers = getallheaders();
$csrf_token = $headers['X-CSRF-Token'];

// 验证提交的令牌
if (!isset($csrf_token) || $csrf_token !== $_COOKIE['csrf_token']) {
    // 令牌无效,拒绝请求
}
登录后复制

实战案例

例如,阻止对钱包中资金转账的 CSRF 攻击:

// 在用户加载转账页面时生成令牌
$transfer_token = bin2hex(random_bytes(32));

// 在表单中包含隐藏字段
<input type="hidden" name="transfer_token" value="<?php echo $transfer_token; ?>">

// 验证提交的令牌
if (!isset($_POST['transfer_token']) || $_POST['transfer_token'] !== $transfer_token) {
    // 令牌无效,拒绝转账请求
}
登录后复制

通过实施这些措施,您可以有效地防止 CSRF 攻击,保护您的 PHP 应用程序。

以上就是PHP 框架安全指南:如何防止 CSRF 攻击?的详细内容,更多请关注php中文网其它相关文章!

https://www.php.cn/faq/801192.html

发表回复

Your email address will not be published. Required fields are marked *