在PHP 中使用正確的CSRF 令牌實作來保護表單
問題：
< ;p>當嘗試將CSRF 令牌新增至兩種不同的表單時，其中一種使用AJAX 和其他基本聯(lián)絡(luò)表單，觀察到HTML中的令牌值偶爾為空。如何解決這個問題？
答案：
問題可能源自於令牌產(chǎn)生方法，因為所提供的程式碼是容易受到預(yù)測和缺乏熵的影響。此方法對於一次性使用和每次表單令牌驗證也是不夠的。
產(chǎn)生強CSRF 令牌：
將令牌產(chǎn)生替換為安全PHP 7 或PHP 5.3 的方法：
PHP 7
session_start();
if (empty($_SESSION['token'])) {
$_SESSION['token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['token'];
PHP 5.3（或使用ext-mcrypt）
session_start();
if ($($_SESSION['令牌'])) {
if (function_exists('mcrypt_create_iv')) {
$_SESSION['token'] = bin2hex(mcrypt_create_iv(32, MCRYPT_DEV_URANDOM));
} else {
$_SESSION['token'] = bin2hex(openssl_random_pseudo_bytes(32));
}
}
$token = $_SESSION['token'];
驗證CSRF 令牌：
使用hash_equals() 驗證令牌安全地：
使用hash_equals() 驗證令牌安全地：
if (hash_equals($_SESSION['token'], $_POST['token'])) {
// Proceed to process the form data
} else {
// Log this as a warning and keep an eye on these attempts
}if (!empty($_POST['token'])) {Per -表單令牌限制：
進一步限制將代幣轉(zhuǎn)換為特定形式，請使用hash_hmac():
echo hash_hmac('sha256', '/my_form.php', $_SESSION['second_token']);
new \Twig_SimpleFunction(
'form_token',
function($lock_to = null) {
if (empty($_SESSION['token'])) {
$_SESSION['token'] = bin2hex(random_bytes(32));
}
if (empty($_SESSION['token2'])) {
$_SESSION['token2'] = random_bytes(32);
}
if (empty($lock_to)) {
return $_SESSION['token'];
}
return hash_hmac('sha256', $lock_to, $_SESSION['token2']);
}
)$twigEnv->addFunction(使用此函數(shù)，安全通用令牌可以用作：
雖然可以使用下列方式產(chǎn)生每個表單令牌：
一次性CSRF 令牌： h2>對於一次性使用令牌要求，請考慮使用專用庫，例如來自Paragon Initiative Enterprises 的反CSRF 庫。
以上是為什麼我的 CSRF 令牌在 AJAX 和標準表單中使用時有時為空，如何在 PHP 中修復(fù)此問題？的詳細內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級程式碼編輯軟體(SublimeText3)
熱門話題
什麼是PHP，為什麼它用於Web開發(fā)？
Jun 23, 2025 am 12:55 AM
PHPbecamepopularforwebdevelopmentduetoitseaseoflearning,seamlessintegrationwithHTML,widespreadhostingsupport,andalargeecosystemincludingframeworkslikeLaravelandCMSplatformslikeWordPress.Itexcelsinhandlingformsubmissions,managingusersessions,interacti
我如何了解最新的PHP開發(fā)和最佳實踐？
Jun 23, 2025 am 12:56 AM
TostaycurrentwithPHPdevelopmentsandbestpractices,followkeynewssourceslikePHP.netandPHPWeekly,engagewithcommunitiesonforumsandconferences,keeptoolingupdatedandgraduallyadoptnewfeatures,andreadorcontributetoopensourceprojects.First,followreliablesource
如何設(shè)置PHP時區(qū)？
Jun 25, 2025 am 01:00 AM
tosetTherightTimeZoneInphp，restate_default_timezone_set（）functionAtthestArtofyourscriptWithavalIdidentIdentifiersuchas'america/new_york'.1.usedate_default_default_timezone_set_set（）
編寫清潔和可維護的PHP代碼的最佳實踐是什麼？
Jun 24, 2025 am 12:53 AM
寫乾淨、易維護的PHP代碼關(guān)鍵在於清晰命名、遵循標準、合理結(jié)構(gòu)、善用註釋和可測試性。 1.使用明確的變量、函數(shù)和類名，如$userData和calculateTotalPrice()；2.遵循PSR-12標準統(tǒng)一代碼風格；3.按職責拆分代碼結(jié)構(gòu)，使用MVC或Laravel式目錄組織；4.避免麵條式代碼，將邏輯拆分為單一職責的小函數(shù)；5.在關(guān)鍵處添加註釋並撰寫接口文檔，明確參數(shù)、返回值和異常；6.提高可測試性，採用依賴注入、減少全局狀態(tài)和靜態(tài)方法。這些做法提升代碼質(zhì)量、協(xié)作效率和後期維護便利性。
如何使用PHP執(zhí)行SQL查詢？
Jun 24, 2025 am 12:54 AM
Yes,youcanrunSQLqueriesusingPHP,andtheprocessinvolveschoosingadatabaseextension,connectingtothedatabase,executingqueriessafely,andclosingconnectionswhendone.Todothis,firstchoosebetweenMySQLiorPDO,withPDObeingmoreflexibleduetosupportingmultipledatabas
如何快速測試PHP代碼片段？
Jun 25, 2025 am 12:58 AM
toquicklytestaphpcodesnippet，useanonlinephpsandboxlike3v4l.orgorphpize.onlineforinstantantantExecutionWithOutSetup; runco????delocalocallocallocallocallocallocallywithpplibycreatinga.phpfileandexecutingitviateringitviatheterminal；
如何升級PHP版本？
Jun 27, 2025 am 02:14 AM
升級PHP版本其實不難，但關(guān)鍵在於操作步驟和注意事項。以下是具體方法：1.確認當前PHP版本及運行環(huán)境，使用命令行或phpinfo.php文件查看；2.選擇適合的新版本並安裝，推薦8.2或8.1，Linux用戶用包管理器安裝，macOS用戶用Homebrew；3.遷移配置文件和擴展，更新php.ini並安裝必要擴展；4.測試網(wǎng)站是否正常運行，檢查錯誤日誌確保無兼容性問題。按照這些步驟操作，大多數(shù)情況都能順利完成升級。
如何在PHP中使用頁面緩存？
Jun 24, 2025 am 12:50 AM
PHP頁面緩存可通過減少服務(wù)器負載和加快頁面加載速度提升網(wǎng)站性能。 1.基本文件緩存通過生成靜態(tài)HTML文件並在有效期內(nèi)提供服務(wù)，避免重複生成動態(tài)內(nèi)容；2.啟用OPcache可將PHP腳本編譯為字節(jié)碼存儲在內(nèi)存中，提升執(zhí)行效率；3.對帶參數(shù)的動態(tài)頁面，應(yīng)根據(jù)URL參數(shù)分別緩存，並避免緩存用戶特定內(nèi)容；4.可使用輕量級緩存庫如PHPFastCache簡化開發(fā)並支持多種存儲驅(qū)動。結(jié)合這些方法能有效優(yōu)化PHP項目的緩存策略。
