Untuk mengelakkan serangan CSRF di PHP, melaksanakan token anti-CSRF. 1) Menjana dan menyimpan token yang selamat menggunakan random_bytes () atau bin2hex (random_bytes (32)), simpannya dalam $ _Session, dan masukkannya dalam bentuk sebagai input tersembunyi. 2) Mengesahkan token pada penyerahan dengan tegas membandingkan token pos dengan sesi yang disimpan; menolak permintaan yang tidak sesuai dengan ralat 403. 3) Melindungi permintaan Ajax/API dengan memasukkan token dalam tajuk atau badan, sering diambil dari tag meta. 4) Gunakan htmlspecialchars () apabila mengeluarkan token untuk mencegah kebocoran XSS. 5) Meningkatkan token selepas tindakan kritikal seperti log masuk. 6) Tetapkan samesite = ketat/lax untuk cookies sesi dan elakkan mendapatkan perubahan keadaan. 7) Menegaskan semula pengguna untuk tindakan sensitif. Langkah -langkah ini memastikan perlindungan CSRF yang komprehensif di semua jenis permintaan sambil mengekalkan integriti keselamatan.

Untuk mengelakkan serangan CSRF di PHP, anda perlu melaksanakan strategi anti-CSRF yang kukuh-terutamanya dengan menggunakan token. Idea ini mudah: setiap permintaan yang berubah-ubah (seperti penyerahan bentuk) hendaklah termasuk token yang unik dan tidak dapat diramalkan yang hanya diketahui pengguna yang sah. Tanpa token ini, pelayan tidak boleh memproses permintaan itu.

Inilah cara untuk melakukannya dengan baik dalam amalan.

Menjana dan menyimpan token anti-CSRF

Setiap kali anda memaparkan borang yang melakukan tindakan (seperti mengemukakan tetapan atau membuat pembelian), menghasilkan token yang selamat dan simpan di tempat yang selamat di sisi pelayan seperti dalam sesi.

• Gunakan random_bytes() atau bin2hex(random_bytes(32)) untuk membuat token yang kuat.
• Simpan dalam $_SESSION supaya anda dapat membandingkannya kemudian apabila borang diserahkan.

Contohnya:

 jika (kosong ($ _ sesi ['csrf_token'])) {
    $ _Session ['csrf_token'] = bin2hex (random_bytes (50));
}

Kemudian dalam bentuk anda:

 <input type = "hidden" name = "csrf_token" value = "<? = htmlspecialchars ($ _ session [&#39;csrf_token&#39;]?>">

Dengan cara ini, setiap penyerahan borang termasuk token bahawa penyerang tidak dapat meneka atau menghasilkan semula.

Mengesahkan token pada penyerahan borang

Apabila borang dikemukakan, periksa sama ada token dalam data pos sepadan dengan apa yang disimpan dalam sesi.

• Sentiasa periksa kehadiran token.
• Bandingkan dengan ketat ( === ) untuk mengelakkan isu-isu jenis.
• Jika ia tidak sepadan, tolak permintaan dengan ralat 403 atau serupa.

Contoh Kod:

 jika (! isset ($ _ post ['csrf_token']) || $ _post ['csrf_token']! == $ _Session ['csrf_token']) {
    http_response_code (403);
    mati ('Token CSRF tidak sah.');
}

Perincian yang kecil tetapi penting: Sentiasa gunakan htmlspecialchars() apabila mengeluarkan token ke HTML untuk mengelakkan XSS daripada bocor token.

Juga, jangan lupa untuk memutar atau menjana semula token selepas tindakan kritikal seperti perubahan log masuk atau kata laluan.

Jangan lupa permintaan Ajax dan API

Jika laman web anda menggunakan JavaScript untuk menghantar borang atau membuat panggilan API, permintaan tersebut juga memerlukan perlindungan CSRF.

• Sertakan token CSRF dalam tajuk atau badan permintaan AJAX.
• Anda boleh menyimpan token dalam tag meta atau skrip sebaris dan membacanya dari sana semasa membuat panggilan.

Sebagai contoh, tetapkan tag meta di kepala HTML anda:

 <meta name = "csrf-token" content = "<? = htmlspecialchars ($ _ sesi [&#39;csrf_token&#39;]?>">

Kemudian di JS anda:

 Ambil ('/update-profile', {
    Kaedah: 'pos',
    tajuk: {
        'X-csrf-token': document.queryselector ('meta [name = "csrf-token"]'). Kandungan
    },
    Badan: UrlSearchParams Baru ({Nama: 'John Doe'})
});

Di belakang, cari token di tajuk X-CSRF-Token dan sahkannya sama seperti bentuk biasa.

Satu perkara yang perlu diperhatikan: Jika anda membina aplikasi satu halaman (SPA) atau aplikasi mudah alih yang bercakap dengan backend PHP anda, pertimbangkan untuk menggunakan kuki tapak dan token CSRF bersama-sama untuk perlindungan yang lebih baik.

Petua Bonus: Cookies Samesite dan bentuk HTTP sahaja

Walaupun dengan token, ada langkah tambahan yang boleh anda ambil:

• Tetapkan SameSite=Strict atau Lax pada cookie sesi anda untuk mengurangkan permintaan silang asal.
• Pastikan borang anda hanya menerima permintaan pos di mana diperlukan-jangan membenarkan perubahan keadaan berasaskan.
• Untuk operasi sensitif (seperti memadam akaun), pengesahan semula membantu menambah lapisan lain.

Ini bukan pengganti untuk token CSRF, tetapi mereka berfungsi dengan baik bersama mereka.

Itu pada dasarnya. Perlindungan CSRF dalam PHP beralih untuk menjana token yang baik, mengesahkannya dengan betul, dan memastikan mereka dimasukkan ke dalam semua permintaan yang berkaitan. Ia tidak terlalu kompleks, tetapi mudah merosakkan jika anda melangkau walaupun satu langkah.

Atas ialah kandungan terperinci Bagaimanakah saya menghalang serangan pemalsuan permintaan lintas tapak (CSRF) dalam php?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!