php如何防止csrf跨站请求伪造_php生成token嵌入表单与校验方法-php教程-PHP中文网

php如何防止csrf跨站请求伪造_php生成token嵌入表单与校验方法

絕刀狂花

发布： 2025-11-26 20:45:47

原创

152人浏览过

使用Token机制可有效防止CSRF攻击：先在表单中嵌入通过random_bytes生成并存于session的随机Token，提交时用hash_equals比对POST数据与session中的Token是否一致，校验通过后处理业务逻辑并可选清除Token，确保请求来自可信源。

php如何防止csrf跨站请求伪造_php生成token嵌入表单与校验方法

防止 CSRF（跨站请求伪造）攻击，核心思路是验证请求是否来自可信的源。PHP 中最常用、有效的方法是使用 Token 机制：在表单中嵌入一个一次性令牌（Token），提交时在服务器端校验该 Token 是否合法。

生成并嵌入 Token 到表单

每次展示表单前，生成一个唯一的随机 Token，并将其保存在 Session 中，同时以隐藏字段的形式插入到 HTML 表单里。

启动 Session，确保用户上下文可用
使用加密安全的函数生成随机字符串作为 Token
将 Token 存入 $_SESSION，并在表单中添加 hidden 字段输出

示例代码：

<strong><?php
session_start();

// 生成 Token
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
?>
<form method="POST" action="submit.php">
    <input type="hidden" name="csrf_token" value="<?= $_SESSION['csrf_token'] ?>" />
    <input type="text" name="username" />
    <button type="submit">提交</button>
</form></strong>

登录后复制

接收并校验 Token

当表单提交后，服务器必须检查 POST 数据中的 Token 是否与 Session 中保存的一致。如果不一致或缺失，拒绝请求。

立即学习“PHP免费学习笔记（深入）”；

Glean

Glean是一个专为企业团队设计的AI搜索和知识发现工具

117

查看详情

检查 $_POST 是否包含 csrf_token 字段
比对提交的 Token 与 $_SESSION 中存储的值
校验通过后可选择刷新 Token（增强安全性）

submit.php 校验示例：

<strong><?php
session_start();

// 验证请求方法
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    die('非法请求');
}

// 检查 Token 是否存在
if (!isset($_POST['csrf_token']) || !hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
    die('CSRF 校验失败，请求不合法');
}

// 清除 Token（可选，防止重放）
unset($_SESSION['csrf_token']);

// 处理业务逻辑
echo "数据提交成功";
?></strong>

登录后复制