재인쇄 링크: http://www.jb51.net/article/13756.htm
PHP 토큰 디자인 설계 목표: 데이터의 반복 제출 방지 외부 제출인지 소스를 확인하세요. 수행할 작업을 일치시킵니다(PHP 파일의 작업 추가, 삭제, 수정 등 동일한 페이지에 여러 논리가 구현된 경우). 여기에 언급된 토큰은 페이지가 표시될 때 FORM에 기록되는 숨겨진 토큰입니다. 양식 항목(유형=숨김) 토큰은 일반 텍스트일 수 없습니다. 일반 텍스트라면 너무 위험하므로 특정 암호화 방법을 사용해야 합니다. 내 알고리즘은 매우 바보같습니다.
반복 제출을 방지하는 방법은 무엇입니까?
SESSION에 배열을 저장합니다. 이 배열은 백그라운드 처리 중에 먼저 토큰이 있는지 확인합니다. 이 배열이 존재한다면 설명해주세요.
소스를 확인하는 방법은 무엇인가요?
선택사항, 이 토큰이 생성되면 다른 사람이 귀하의 HTML(토큰 복사본)을 복사하면 추가됩니다. 제출할 때 이론적으로 토큰에 포함된 session_id가 현재 session_id와 같지 않으면 이 제출이 외부 제출임을 확인할 수 있습니다.
실행할 액션을 어떻게 일치시킬 수 있나요?
토큰화할 때 토큰의 액션 이름을 토큰에 적어야 합니다. 이렇게 하면 처리 중에 액션을 디코딩하여 비교할 수 있습니다.
GEncrypt.inc.php:
<?php class GEncrypt extends GSuperclass { protected static function keyED($txt,$encrypt_key){ $encrypt_key = md5($encrypt_key); $ctr=0; $tmp = ""; for ($i=0;$i<strlen($txt);$i++){ if ($ctr==strlen($encrypt_key)) $ctr=0; $tmp.= substr($txt,$i,1) ^ substr($encrypt_key,$ctr,1); $ctr++; } return $tmp; } public static function encrypt($txt,$key){ //$encrypt_key = md5(rand(0,32000)); $encrypt_key = md5(((float) date("YmdHis") + rand(10000000000000000,99999999999999999)).rand(100000,999999)); $ctr=0; $tmp = ""; for ($i=0;$i<strlen($txt);$i++){ if ($ctr==strlen($encrypt_key)) $ctr=0; $tmp.= substr($encrypt_key,$ctr,1) . (substr($txt,$i,1) ^ substr($encrypt_key,$ctr,1)); $ctr++; } return base64_encode(self::keyED($tmp,$key)); } public static function decrypt($txt,$key){ $txt = self::keyED( base64_decode($txt),$key); $tmp = ""; for ($i=0;$i<strlen($txt);$i++){ $md5 = substr($txt,$i,1); $i++; $tmp.= (substr($txt,$i,1) ^ $md5); } return $tmp; } } ?>
GToken.inc.php
<?php /** * 原理:请求分配token的时候,想办法分配一个唯一的token, base64( time + rand + action) * 如果提交,将这个token记录,说明这个token以经使用,可以跟据它来避免重复提交。 * */ class GToken { /** * 得到当前所有的token * * @return array */ public static function getTokens(){ $tokens = $_SESSION[GConfig::SESSION_KEY_TOKEN ]; if (empty($tokens) && !is_array($tokens)) { $tokens = array(); } return $tokens; } /** * 产生一个新的Token * * @param string $formName * @param 加密密钥 $key * @return string */ public static function granteToken($formName,$key = GConfig::ENCRYPT_KEY ){ $token = GEncrypt::encrypt($formName.":".session_id(),$key); return $token; } /** * 删除token,实际是向session 的一个数组里加入一个元素,说明这个token以经使用过,以避免数据重复提交。 * * @param string $token */ public static function dropToken($token){ $tokens = self::getTokens(); $tokens[] = $token; GSession::set(GConfig::SESSION_KEY_TOKEN ,$tokens); } /** * 检查是否为指定的Token * * @param string $token 要检查的token值 * @param string $formName * @param boolean $fromCheck 是否检查来路,如果为true,会判断token中附加的session_id是否和当前session_id一至. * @param string $key 加密密钥 * @return boolean */ public static function isToken($token,$formName,$fromCheck = false,$key = GConfig::ENCRYPT_KEY){ $tokens = self::getTokens(); if (in_array($token,$tokens)) //如果存在,说明是以使用过的token return false; $source = split(":", GEncrypt::decrypt($token,$key)); if($fromCheck) return $source[1] == session_id() && $source[0] == $formName; else return $source[0] == $formName; } } ?>
일치하는 작업인지 판단하려면 isToken에서 formName을 변경하고 실행하면 됩니다.
위 내용은 PHP Token의 디자인을 다양한 측면에서 소개하고 있으며, PHP 튜토리얼에 관심이 있는 친구들에게 도움이 되기를 바랍니다.