跳到主要内容

PHP CSRF 防护

什么是 CSRF 攻击？​

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的 Web 安全漏洞。攻击者通过诱导用户点击恶意链接或访问恶意网站，利用用户的登录状态在用户不知情的情况下发送伪造的请求。这些请求可能会执行敏感操作，例如修改用户信息、转账或删除数据。

备注

CSRF 攻击的关键在于攻击者利用了用户的身份验证状态，而用户本身并不知情。

为什么需要 CSRF 防护？​

如果没有 CSRF 防护，攻击者可以轻松地伪造用户的请求，导致数据泄露或破坏。例如，假设用户登录了一个银行网站，攻击者可以通过 CSRF 攻击让用户在不知情的情况下转账。

如何在 PHP 中实现 CSRF 防护？​

PHP 中常用的 CSRF 防护方法是使用 CSRF Token。CSRF Token 是一个随机生成的字符串，服务器在生成表单时将其嵌入到表单中，并在用户提交表单时验证该 Token 是否匹配。

步骤 1：生成 CSRF Token​

首先，我们需要在服务器端生成一个随机的 CSRF Token，并将其存储在会话中。

php
<?php
session_start();

if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
?>

步骤 2：将 CSRF Token 嵌入表单​

在生成表单时，将 CSRF Token 嵌入到表单中作为一个隐藏字段。

php
<form action="process.php" method="POST">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>" />
    <input type="text" name="username" placeholder="Username" />
    <input type="submit" value="Submit" />
</form>

步骤 3：验证 CSRF Token​

在表单提交后，服务器需要验证提交的 CSRF Token 是否与会话中存储的 Token 一致。

php
<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
        die("CSRF token validation failed.");
    }

    // 处理表单数据
    echo "Form submitted successfully!";
}
?>
警告

确保在每次表单提交后重新生成 CSRF Token，以防止 Token 被重复使用。

实际案例：银行转账​

假设我们有一个银行转账的功能，用户可以通过表单提交转账请求。如果没有 CSRF 防护，攻击者可以伪造一个转账请求，诱导用户点击恶意链接。

未防护的转账表单​

php
<form action="transfer.php" method="POST">
    <input type="text" name="amount" placeholder="Amount" />
    <input type="text" name="to_account" placeholder="To Account" />
    <input type="submit" value="Transfer" />
</form>

攻击者可以通过以下方式伪造请求：

html
<a href="http://bank.com/transfer.php?amount=1000&to_account=attacker">Click here to win a prize!</a>

防护后的转账表单​

通过添加 CSRF Token，我们可以有效防止这种攻击。

php
<form action="transfer.php" method="POST">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>" />
    <input type="text" name="amount" placeholder="Amount" />
    <input type="text" name="to_account" placeholder="To Account" />
    <input type="submit" value="Transfer" />
</form>

总结​

CSRF 攻击是一种常见的 Web 安全威胁，但通过使用 CSRF Token，我们可以有效地防止这种攻击。在 PHP 中，生成、嵌入和验证 CSRF Token 是一个简单而有效的方法。

提示

除了 CSRF Token，还可以使用 SameSite Cookie 属性来进一步增强 CSRF 防护。

附加资源​

练习​

  1. 在你的 PHP 项目中实现 CSRF 防护机制。
  2. 尝试模拟一个 CSRF 攻击，并验证你的防护机制是否有效。
  3. 研究如何使用 SameSite Cookie 属性来增强 CSRF 防护。

通过以上步骤，你将能够有效地保护你的 PHP 应用程序免受 CSRF 攻击。