Wie gehe ich mit Cross-Site-Request-Forgery-Angriffen (CSRF) in PHP um?

Wie gehe ich mit Cross-Site Request Forgery (CSRF)-Angriffen in PHP um?

Übersicht:
Da sich Cyberangriffe immer weiter entwickeln, ist der Schutz der Website-Sicherheit zu einer der wichtigsten Aufgaben für Entwickler geworden. Cross-Site Request Forgery (CSRF)-Angriffe stellen eine häufige Sicherheitsbedrohung dar. Angreifer verleiten Benutzer dazu, unerwartete Vorgänge auszuführen, sodass Benutzer ohne ihr Wissen böswillige Anfragen senden können. Um solche Angriffe zu verhindern, können Entwickler eine Reihe von Maßnahmen ergreifen, um ihre Websites zu schützen. In diesem Artikel wird erläutert, wie mit CSRF-Angriffen in PHP umgegangen wird.

1. Verstehen Sie die Prinzipien von CSRF-Angriffen:
   Bevor wir uns mit CSRF-Angriffen befassen, müssen wir die Prinzipien der Angriffe verstehen. Bei einem CSRF-Angriff werden die Anmeldedaten eines Benutzers auf anderen Websites ausgenutzt, um nicht autorisierte Aktionen auszuführen. Der Angreifer fälscht eine Anfrage und sendet sie an die Zielwebsite, die unter Verwendung der Identität des Benutzers ausgeführt wird. Nach Erhalt der Anfrage geht die Website fälschlicherweise davon aus, dass die Anfrage vom Benutzer selbst gesendet wurde. Daher ist das Verständnis dieses Prinzips für die wirksame Abwehr von CSRF-Angriffen von entscheidender Bedeutung.
2. Verwenden Sie die Token-Verifizierung:
   Die Token-Verifizierung ist eine gängige Methode zur Abwehr von CSRF-Angriffen. Es basiert auf der Generierung einer eindeutigen Kennung (Token) für jeden Benutzer und der Einbettung dieses Tokens in das Formular. Wenn der Benutzer das Formular absendet, überprüft der Server, ob das Token im Formular mit dem Token in der Sitzung des Benutzers übereinstimmt. Wenn es inkonsistent ist, bedeutet dies, dass es sich um eine böswillige Anfrage handelt und der Server die Ausführung verweigert.

Das Folgende ist ein Beispielcode mit Token-Verifizierung:

// 生成Token
$token = bin2hex(random_bytes(32));
$_SESSION['csrf_token'] = $token;

// 将Token嵌入到表单中
<form method="post" action="process.php">
    <input type="hidden" name="csrf_token" value="<?php echo $token; ?>">
    <!-- other form fields -->
    <input type="submit" value="Submit">
</form>

// 在处理请求时验证Token
session_start();
if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    die("Invalid CSRF token");
}
// 处理请求

3. HTTP-Referer einschränken:
   HTTP-Referer ist ein HTTP-Anfrageheader, der die URL der Seite enthält, auf der die Anfrage initiiert wird. Mit diesem Header-Feld können wir überprüfen, ob die Anfrage von demselben Domänennamen stammt. Bei der Validierung einer Anfrage können wir prüfen, ob der angeforderte Referrer mit dem aktuellen Domainnamen übereinstimmt. Wenn es anders ist, handelt es sich wahrscheinlich um eine böswillige Anfrage. Es ist jedoch zu beachten, dass Referer von einigen Browsern oder Proxyservern möglicherweise deaktiviert oder gefälscht wird, sodass diese Methode keine vollständige Sicherheit garantiert.

Das Folgende ist ein Beispielcode zur Einschränkung des HTTP-Referers:

$referer = $_SERVER['HTTP_REFERER'];
$allowed_referer = 'https://www.example.com';

if (strpos($referer, $allowed_referer) !== 0) {
    die("Invalid Referer");
}
// 处理请求

4. Setzen Sie das SameSite-Cookie-Attribut:
   In PHP 7.3 und höher kann das SameSite-Attribut auf Cookie gesetzt werden. Das SameSite-Attribut kann definieren, dass Cookies nur auf derselben Site verwendet werden können, wodurch CSRF-Angriffe effektiv verhindert werden. Sie können das SameSite-Attribut des Cookies auf „Strict“ oder „Lax“ setzen. „Streng“ bedeutet, dass Cookies nur von derselben Website verwendet werden dürfen, während „Lax“ bedeutet, dass Cookies in einigen standortübergreifenden Situationen zulässig sind, jedoch nicht in POST-Anfragen.

Hier ist ein Beispielcode zum Festlegen des SameSite-Cookie-Attributs:

session_start();
session_set_cookie_params([
    'httponly' => true,
    'samesite' => 'Lax'
]);

Fazit:
Der Umgang mit CSRF-Angriffen in PHP erfordert die Ergreifung einer Reihe von Sicherheitsmaßnahmen. Die Verwendung der Token-Überprüfung, die Einschränkung des HTTP-Referers und das Festlegen von SameSite-Cookie-Attributen sind wirksame Methoden zur Abwehr von CSRF-Angriffen. Obwohl diese Methoden die Sicherheit der Website verbessern können, sollten Entwickler immer neue Sicherheitsbedrohungen und Best Practices genau im Auge behalten und Schutzmaßnahmen rechtzeitig aktualisieren, um die Sicherheit der Website zu gewährleisten.

Das obige ist der detaillierte Inhalt vonWie gehe ich mit Cross-Site-Request-Forgery-Angriffen (CSRF) in PHP um?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!