Pour éviter les attaques CSRF dans les applications PHP, vous devez utiliser des jetons anti-CSRF, vérifier les méthodes HTTP, définir des attributs de cookie Samesite et envisager d'utiliser un cadre qui gère automatiquement le CSRF. 1. Utilisez un jeton anti-CSRF: le serveur génère un jeton unique et l'associe à la session utilisateur, ajoute un champ caché au formulaire pour soumettre le jeton et vérifiez si le jeton correspond lors de la soumission; 2. Vérifiez la méthode HTTP: assurez-vous que les opérations sensibles ne sont effectuées que par des méthodes sécurisées telles que le POST et rejettent les demandes de GET imprévues; 3. Définissez l'attribut de cookie Samesite: Configurez Samesite = strict ou lax via session_set_cookie_params pour empêcher les demandes de site transversal de transporter des cookies; 4. Utiliser des cadres: tels que Laravel, Symfony et d'autres mécanismes de protection CSRF intégrés, gérer automatiquement la génération et la vérification des jetons, améliorer la sécurité et réduire les omissions manuelles.

La prévention de la contrefa?on de demande inter-sites (CSRF) dans les applications PHP est essentielle pour sécuriser les données des utilisateurs et garantir que les mesures prises dans votre application sont intentionnelles. L'idée principale est de vérifier que les demandes entrant dans votre système ont été intentionnellement faites par l'utilisateur authentifié - et non par un tiers essayant de les exploiter.

Voici comment vous pouvez protéger efficacement votre application PHP des attaques CSRF.

Utiliser des jetons anti-CSRF

La méthode la plus fiable pour empêcher le CSRF consiste à utiliser des jetons anti-CSRF (également appelés jetons de synchroniseur). Ce sont des valeurs uniques et imprévisibles générées par le serveur et associées à la session d'un utilisateur.

• Lors de la génération d'un formulaire, incluez un champ de saisie caché contenant ce jeton.
• Sur la soumission du formulaire, vérifiez si le jeton soumis correspond à celui stocké dans la session.
• S'ils ne correspondent pas, rejetez la demande.

Par exemple:

 // Générer un jeton (sinon déjà défini)
if (vide ($ _ session ['csrf_token'])) {
    $ _Session ['csrf_token'] = bin2hex (random_bytes (50));
}

// sous votre forme:
echo &#39;<input type = "Hidden" name = "csrf_token" value = "&#39;. $ _Session [&#39;csrf_token&#39;]. &#39;">&#39;;

// sur la soumission:
if (! hash_equals ($ _ session [&#39;csrf_token&#39;], $ _post [&#39;csrf_token&#39;])) {
    Die (?jeton CSRF non valide?);
}

Cela garantit que seuls les formulaires générés par votre demande peuvent être utilisés pour soumettre des données.

Valider correctement les méthodes HTTP

Assurez-vous que toute opération de changement d'état (comme Post, put, supprimer) n'est pas autorisée via des demandes GET. Les navigateurs suivent automatiquement les liens ou chargent des images en utilisant GET, ce qui les rend vulnérables au CSRF si des actions sensibles sont déclenchées à travers elles.

Par exemple:

• N'autorisez pas la suppression du compte via GET /delete-account .
• Utilisez toujours le poste (ou d'autres méthodes appropriées) pour de telles opérations.
• Vérifiez la méthode de demande au début de vos scripts.

Vous pouvez faire quelque chose comme:

 if ($ _server ['request_method']! == 'post') {
    http_response_code (405); // Méthode non autorisée
    sortie (?seules les demandes de poste sont autorisées.?);
}

Cela permet d'éviter le déclenchement accidentel ou malveillant d'actions destructrices.

Définir l'attribut Cookie Samesite

Les navigateurs modernes prennent en charge l'attribut SameSite pour les cookies, qui restreint la fa?on dont les cookies sont envoyés avec des demandes de site croisé. Vous pouvez le définir lors du démarrage d'une session:

 session_set_cookie_params ([
    'Lifetime' => 0,
    'path' => '/',
    'domaine' => '', // ajustez en fonction de votre domaine
    'sécurisé' => true, // Envoyez uniquement HTTPS
    'httponly' => true,
    'Samesite' => 'strict' // ou 'lax' en fonction de vos besoins
]));
session_start ();

L'utilisation SameSite=Strict signifie que les cookies ne seront pas envoyés avec des demandes de site croisé, ce qui réduit considérablement le risque de CSRF.

Remarque: Soyez prudent avec la compatibilité du navigateur si vous devez prendre en charge les clients plus agés.

Envisagez d'utiliser des cadres qui gèrent automatiquement le CSRF

Si vous créez une application PHP plus grande, envisagez d'utiliser un cadre comme Laravel, Symfony ou Codeigniter. Ces cadres ont des mécanismes de protection CSRF intégrés qui gèrent la génération de jetons, la validation, etc.

Par exemple, Laravel génère et valide automatiquement les jetons CSRF pour toutes les demandes de publication, et il vous suffit d'inclure @csrf dans vos modèles de lame.

Bien que le lancement de votre propre protection CSRF fonctionne bien pour les petites applications, les cadres prennent en charge les cas de bord et maintiennent à jour les pratiques de sécurité.

Vous y allez donc - utilisez des jetons, validez les méthodes de demande, tirez parti des attributs de cookies et envisagez d'utiliser un cadre solide. Ce n'est pas de la science des fusées, mais il est facile d'oublier un détail et de laisser votre application exposée.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!