PHP 框架安全指南：如何防止 CSRF 攻击？
跨站点请求伪造 (CSRF) 攻击是一种网络攻击，其中攻击者诱骗用户在受害者的网络应用程序中执行非预期操作。
CSRF 如何工作？
CSRF 攻击利用了一个事实：大多数 Web 应用程序允许在同一个域名内不同页面之间发送请求。攻击者创建恶意页面，该页面向受害者的应用程序发送请求，触发未经授权的操作。
如何防止 CSRF 攻击？
1. 使用反 CSRF 令牌：
- 向每个用户分配一个唯一的令牌，将其存储在会话或 Cookie 中。
- 在应用程序中包含一个隐藏字段，用于提交该令牌。
- 验证提交的令牌与存储的令牌匹配。
// 生成令牌并存储在会话中
$_SESSION[\'csrf_token\'] = bin2hex(random_bytes(32));
// 在表单中包含隐藏字段
<input type="hidden" name="csrf_token" value="<?php echo $_SESSION[\'csrf_token\']; ?>">
// 验证提交的令牌
if (!isset($_POST[\'csrf_token\']) || $_POST[\'csrf_token\'] !== $_SESSION[\'csrf_token\']) {
// 令牌无效，拒绝请求
}
腾讯云 12-20 广告
