什么是跨站请求伪造CSRF跨站请求伪造简称CSRF是一种网络安全攻击攻击者诱导受害者执行一个恶意的请求。比如你可能在浏览一个网页的时候同时登录了网上银行如果这时你点击了一个恶意链接这个链接可能会代表你进行一笔转账而你完全不知情。如何防止跨站请求伪造在PHP中防止CSRF攻击的一种常用方法是使用令牌token。这个令牌就像一个独一无二的密码只有知道这个密码的请求才能被服务器接受。当用户打开一个页面时服务器会生成一个令牌并把它放在页面上。当用户提交表单时这个令牌也会被一起提交服务器会检查这个令牌是否正确如果不正确就拒绝这个请求。底层原理是什么令牌机制的核心原理是只有服务器和用户知道这个令牌而攻击者不知道。这样即使攻击者能够诱导用户发出一个请求他们也无法伪造出正确的令牌因此服务器会拒绝这个请求。通俗的解释想象一下你去游乐园玩需要凭票入场。这张票就相当于我们的令牌。游乐园服务器给了你一张独特的票令牌只有拿着这张票的人才能进入游乐园。如果你把票弄丢了或者别人捡到了你的票CSRF攻击他们也不能进去因为游乐园会检查票的真伪。PHP实例代码以下是一个简单的PHP代码示例展示如何使用令牌防止CSRF攻击?php // 生成一个随机的令牌 function generateToken() { return bin2hex(random_bytes(16)); } // 检查令牌是否正确 function checkToken($token) { // 假设我们将令牌保存在了session中 if (isset($_SESSION[token]) $_SESSION[token] $token) { return true; } return false; } // 当用户打开页面时生成并保存令牌 session_start(); $_SESSION[token] generateToken(); // 在HTML表单中添加一个隐藏的输入字段来保存令牌 ? form actionsubmit.php methodpost !-- 其他表单字段 -- input typehidden nametoken value?php echo $_SESSION[token]; ? input typesubmit value提交 /form ?php // 在处理表单提交的页面如submit.php中检查令牌 if ($_SERVER[REQUEST_METHOD] POST) { if (checkToken($_POST[token])) { // 令牌正确处理表单数据 // ... } else { // 令牌错误拒绝请求 echo 错误的令牌; } } ?这个例子中当用户打开页面时服务器会生成一个令牌并保存在session中同时在表单中添加一个隐藏的字段来保存这个令牌。当用户提交表单时这个令牌也会被一起提交。服务器会检查提交的令牌和保存在session中的令牌是否一致如果一致就接受请求如果不一致就拒绝请求。
