Bagaimana Saya Boleh Melindungi Borang Web Saya Terhadap Serangan CSRF Menggunakan PHP?

Melindungi Borang Web Menggunakan Token CSRF: Panduan Komprehensif dengan Contoh PHP

Pemalsuan permintaan merentas tapak (CSRF) ialah teknik serangan berniat jahat yang mengeksploitasi kelemahan web untuk melakukan tindakan yang tidak dibenarkan bagi pihak pengguna. Untuk melindungi tapak web anda daripada CSRF, melaksanakan mekanisme token yang teguh adalah penting. Artikel ini menyediakan panduan terperinci tentang menambah token CSRF menggunakan PHP, menangani cabaran yang dihadapi dalam proses.

Menjana Token Selamat

Apabila menjana token CSRF, adalah penting untuk digunakan sumber rawak yang boleh dipercayai untuk mengelakkan kebolehramalan dan memastikan entropi yang mencukupi. PHP 7 menawarkan fungsi random_bytes(), manakala PHP 5.3 boleh menggunakan mcrypt_create_iv() atau openssl_random_pseudo_bytes() untuk tujuan ini. Elakkan kaedah yang terdedah seperti rand() atau md5().

Contoh untuk PHP 7:

if (empty($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['token'];

Contoh untuk PHP 5.3 (atau dengan ext- mcrypt):

if (empty($_SESSION['token'])) {
    if (function_exists('mcrypt_create_iv')) {
        $_SESSION['token'] = bin2hex(mcrypt_create_iv(32, MCRYPT_DEV_URANDOM));
    } else {
        $_SESSION['token'] = bin2hex(openssl_random_pseudo_bytes(32));
    }
}
$token = $_SESSION['token'];

Menyepadukan dengan Borang

Dalam borang HTML anda, sertakan medan input untuk membawa token CSRF yang dijana dengan selamat ke pelayan:

<input type="hidden" name="token" value="<?php echo $token; ?>" />

Pengesahan Token

Apabila borang diserahkan, sahkan token yang diserahkan dengan yang disimpan dalam sesi:

if (!empty($_POST['token'])) {
    if (hash_equals($_SESSION['token'], $_POST['token'])) {
         // Proceed to process the form data
    } else {
         // Log this as a warning and keep an eye on these attempts
    }
}

Token Per-Borang dan HMAC

Untuk keselamatan tambahan, pertimbangkan untuk menggunakan token per-borang. Hasilkan kunci HMAC yang berasingan dan gunakan hash_hmac() untuk mengunci token CSRF kepada bentuk tertentu.

$calc = hash_hmac('sha256', '/my_form.php', $_SESSION['second_token']);
if (hash_equals($calc, $_POST['token'])) {
    // Continue...
}

Pendekatan Hibrid dengan Twig

Pengguna Twig boleh memanfaatkan fungsi tersuai untuk menjana kedua-dua umum dan terkunci token:

{{ form_token() }}
{{ form_token('/my_form.php') }}

Token CSRF Guna Tunggal

Untuk senario yang memerlukan token sekali guna, pertimbangkan untuk menggunakan perpustakaan luaran, seperti Paragon Initiative Enterprises' Anti- Pustaka CSRF, yang menguruskan penebusan dan tamat tempoh token.

Dengan melaksanakan teknik ini, anda boleh melindungi tapak web anda dengan berkesan daripada serangan CSRF dan memastikan integriti interaksi pengguna.

Atas ialah kandungan terperinci Bagaimana Saya Boleh Melindungi Borang Web Saya Terhadap Serangan CSRF Menggunakan PHP?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!