CSRF 공격을 방지하기 위한 PHP 프로그래밍 모범 사례-PHP 튜토리얼-php.cn

CSRF 공격을 방지하기 위한 PHP 프로그래밍 모범 사례

王林

풀어 주다： 2023-07-05 16:44:01

원래의

1376명이 탐색했습니다.

CSRF 공격을 방지하기 위한 PHP 프로그래밍 모범 사례

CSRF(Cross-site Request Forgery)는 일반적인 네트워크 공격 방법입니다. 공격자는 합법적인 사용자의 요청을 위장하여 사용자가 모르게 악의적인 작업을 수행할 수 있도록 합니다. 사용자와 애플리케이션의 보안을 보호하기 위해 개발자는 CSRF 공격을 방지하기 위한 몇 가지 조치를 취해야 합니다. 이 기사에서는 CSRF 공격을 방지하기 위한 PHP 프로그래밍의 몇 가지 모범 사례를 소개하고 몇 가지 코드 예제를 제공합니다.

CSRF 토큰 사용
CSRF 토큰을 사용하는 것은 CSRF 공격을 방지하는 가장 일반적이고 효과적인 방법 중 하나입니다. 사용자 세션별로 고유한 토큰이 생성되며 모든 양식 제출 요청에 포함됩니다. 서버는 요청을 처리할 때 토큰이 유효한지 확인합니다. 토큰이 유효하지 않은 경우 서버는 요청을 거부하거나 다른 사용자 지정 작업을 수행할 수 있습니다.

다음은 CSRF 토큰을 사용하는 간단한 예입니다.

// 生成CSRF令牌
function generateCSRFToken() {
    $token = bin2hex(random_bytes(32));
    $_SESSION['csrf_token'] = $token;
    return $token;
}

// 在表单中包含CSRF令牌
function renderForm() {
    $csrfToken = generateCSRFToken();
    echo '<form action="process.php" method="post">';
    echo '<input type="hidden" name="csrf_token" value="' . $csrfToken . '">';
    echo '<input type="text" name="username">';
    echo '<input type="password" name="password">';
    echo '<input type="submit" value="Submit">';
    echo '</form>';
}

// 处理表单提交请求
function processForm() {
    if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {
        // 令牌无效，处理错误
        echo 'Invalid CSRF token!';
        return;
    }
    
    // 处理表单提交数据
    $username = $_POST['username'];
    $password = $_POST['password'];
    
    // 执行其他操作
    // ...
}

// 调用函数
renderForm();
processForm();

로그인 후 복사

위 코드에서 generateCSRFToken 함수는 CSRF 토큰을 생성하고 이를 사용자 세션에 저장하는 역할을 합니다. renderForm 함수는 양식을 렌더링하고 숨겨진 필드에 CSRF 토큰을 포함하는 일을 담당합니다. processForm 기능은 양식 제출 요청을 처리하고 처리 전에 CSRF 토큰의 유효성을 확인하는 일을 담당합니다. generateCSRFToken函数负责生成CSRF令牌，并将其存储在用户的会话中。renderForm函数负责渲染表单，并在隐藏的字段中包含CSRF令牌。processForm函数负责处理表单提交请求，并在处理前验证CSRF令牌的有效性。

验证请求来源
除了使用CSRF令牌外，还可以通过验证请求的来源来防止CSRF攻击。在处理请求时，服务器可以检查请求头中的Referer字段，确保请求是来自同一域名的。如果Referer字段为空或不是期望的域名，服务器可以拒绝请求或执行其他自定义操作。

以下是一个简单的验证请求来源的示例：

function processRequest() {
    $expectedDomain = 'https://www.example.com';
    
    if (!isset($_SERVER['HTTP_REFERER']) || strpos($_SERVER['HTTP_REFERER'], $expectedDomain) !== 0) {
        // 请求来源无效，处理错误
        echo 'Invalid request source!';
        return;
    }
    
    // 处理请求
    // ...
}

로그인 후 복사

在上述代码中，processRequest函数负责处理请求，并验证请求来源。通过检查请求头中的Referer

CSRF 토큰을 사용하는 것 외에도 요청 소스를 확인하여 CSRF 공격을 예방할 수도 있습니다. 요청을 처리할 때 서버는 요청 헤더의 Referer 필드를 확인하여 요청이 동일한 도메인 이름에서 오는지 확인할 수 있습니다. Referer 필드가 비어 있거나 예상 도메인 이름이 아닌 경우 서버는 요청을 거부하거나 다른 사용자 지정 작업을 수행할 수 있습니다.

다음은 요청 소스 확인의 간단한 예입니다.

processRequest

Referer

위 내용은 CSRF 공격을 방지하기 위한 PHP 프로그래밍 모범 사례의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!