Um CSRF-Angriffe in PHP zu verhindern, implementieren Sie Anti-CSRF-Token. 1) Generieren und speichern Sie sichere Token mit Random_Bytes () oder Bin2hex (Random_Bytes (32)), speichern Sie sie in $ _Session und geben Sie sie in Formularen als versteckte Eingaben ein. 2) Validieren von Token bei der Einreichung, indem Sie den Post-Token streng mit dem von Sitzungen gelegenen vergleicht; Nicht übereinstimmende Anfragen mit einem 403 -Fehler ablehnen. 3) Schützen Sie Ajax/API -Anfragen, indem Sie das Token in Header oder K?rper einbeziehen, die h?ufig aus einem Meta -Tag abgerufen werden. 4) Verwenden Sie HTMLSpecialChars (), wenn Sie Token ausgeben, um XSS -Lecks zu verhindern. 5) Regenerieren Sie Token nach kritischen Aktionen wie Anmeldung. 6) Setzen Sie Samesit = Strict/Lax für Sitzungs Cookies und vermeiden Sie es, staatliche ?nderungen zu erhalten. 7) Benutzer für sensible Aktionen erneut authentifizieren. Diese Schritte gew?hrleisten einen umfassenden CSRF -Schutz über alle Anforderungstypen bei der Aufrechterhaltung der Sicherheitsintegrit?t.

Um CSRF-Angriffe in PHP zu verhindern, müssen Sie eine solide Anti-CSRF-Strategie durchführen-haupts?chlich mit Token. Die Idee ist einfach: Jede staatlich ver?ndernde Anfrage (wie die Formulareinreichungen) sollte ein einzigartiges, unvorhersehbares Token enthalten, das nur der legitime Benutzer kennt. Ohne dieses Token sollte der Server die Anfrage nicht verarbeiten.

Hier erfahren Sie, wie man es in der Praxis tats?chlich gut macht.

Generieren und speichern Sie Anti-CSRF-Token

Jedes Mal, wenn Sie ein Formular anzeigen, das eine Aktion ausführt (z. B. Einstellungen oder Kauf t?tigen), generieren Sie ein sicheres Token und speichern Sie es an einem sicheren Ort auf der Serverseite - wie in der Sitzung.

• Verwenden Sie random_bytes() oder bin2hex(random_bytes(32)) um ein starkes Token zu erstellen.
• Speichern Sie es in $_SESSION damit Sie es sp?ter vergleichen k?nnen, wenn das Formular eingereicht wird.

Zum Beispiel:

 if (leer ($ _ Session ['csrf_token'])) {
    $ _Session ['csrf_token'] = bin2hex (random_bytes (50));
}

Dann in Ihrer Form:

 <Eingabe type = "Hidden" name = "csrf_token" value = "<?

Auf diese Weise enth?lt jede Formulareinreichung ein Token, das der Angreifer nicht erraten oder reproduzieren kann.

Validieren Sie das Token bei der Einreichung von Formular

Wenn das Formular eingereicht wird, prüfen Sie, ob das Token in den Postdaten dem entspricht, was in der Sitzung gespeichert ist.

• überprüfen Sie immer auf die Anwesenheit des Tokens.
• Vergleichen Sie es streng ( === ), um Probleme mit dem Typ-Juggling zu vermeiden.
• Wenn es nicht übereinstimmt, lehnen Sie die Anforderung mit einem 403 -Fehler oder ?hnlichen Fehler ab.

Beispielcode:

 if (! isset ($ _ post ['csrf_token']) || $ _post ['csrf_token']! == $ _Session ['csrf_token']) {
    http_response_code (403);
    Die ('Ungültiges CSRF -Token');
}

Ein kleines, aber wichtiges Detail: Verwenden Sie immer htmlspecialchars() wenn Sie das Token in HTML ausgeben, um zu verhindern, dass XSS den Token austritt.

Vergessen Sie auch nicht, das Token nach kritischen Aktionen wie Anmeldung oder Kennwort?nderung zu drehen oder zu regenerieren.

Vergessen Sie nicht Ajax -Anfragen und APIs

Wenn Ihre Website JavaScript verwendet, um Formulare zu senden oder API -Anrufe zu t?tigen, ben?tigen diese Anfragen auch CSRF -Schutz.

• Fügen Sie das CSRF -Token in die Header oder den K?rper der AJAX -Anfrage ein.
• Sie k?nnen das Token in einem Meta -Tag oder Inline -Skript speichern und es von dort aus lesen, wenn Sie den Anruf t?tigen.

Legen Sie beispielsweise ein Meta -Tag in Ihrem HTML -Kopf ein:

 <meta name = "csrf-token" content = "<?

Dann in deinem JS:

 Fetch ('/Update-Profil', {
    Methode: 'Post',
    Header: {
        'X-csrf-token': document.querySelector ('meta [name = "csrf-token"]'). Inhalt
    },
    K?rper: Neue urlSearchparams ({Name: 'John Doe'})
});

Suchen Sie im Backend nach dem Token im X-CSRF-Token -Header und validieren Sie es wie bei regul?ren Formen.

Eine Sache, die zu beachten ist: Wenn Sie eine einseitige App (SPA) oder eine mobile App erstellen, die mit Ihrem PHP-Backend spricht, sollten Sie sich mit gleichen Cookies und CSRF-Token zusammenstellen, um einen besseren Schutz zu erhalten.

Bonus-Tipps: Samesit Cookies und nur HTTP-Formulare

Auch bei Token k?nnen Sie zus?tzliche Schritte unternehmen, die Sie unternehmen k?nnen:

• Setzen Sie SameSite=Strict oder Lax auf Ihrem Sitzungs-Cookie, um Cross-Origin-Anfragen zu reduzieren.
• Stellen Sie sicher, dass Ihre Formulare bei Bedarf nur Postanfragen akzeptieren-nicht zulassen, dass die ?nderungen der Get-basierten staatlichen ?nderungen zulassen.
• Für sensible Operationen (wie das L?schen eines Kontos) hilft die Neuauthentifizierung zu einer weiteren Ebene.

Dies sind keine Ersatz für CSRF -Token, aber sie arbeiten gut neben ihnen.

Das ist es im Grunde genommen. Der CSRF -Schutz in PHP l?uft darauf hinaus, gute Token zu erzeugen, sie ordnungsgem?? zu validieren und sicherzustellen, dass sie in allen relevanten Anforderungen enthalten sind. Es ist nicht überm??ig komplex, aber leicht durcheinander zu bringen, wenn Sie nur einen Schritt überspringen.

Das obige ist der detaillierte Inhalt vonWie verhindern Sie CSRF-Angriffe (CSRF) CSRF in PHP?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!