网上有种方法是使用
$_SERVER['HTTP_REFERER']
但是有文章又指出
referer可以伪造的
例如
header("referer:www.aaa.com")
……
?>
我试了一下，貌似用header发送在控制台台里看到referer是变化了
但是$_SERVER['HTTP_REFERER']是空的，说明似乎没问题
那到底这个参数行不行呢？能不能防止呢？
CSRF通过伪装来自受信任用户的请求来利用受信任的网站
那么用 $_SERVER['HTTP_REFERER'] 显然是不可以的，因为这是可伪造的（你也是知道的）
对于表单，你可以放置一个即时发放的随机串（token）或验证码
对于普通页，你可以通过 ajax 获取一个通行字（因为 ajax 是不可跨域的，且模拟 js 行为技术难度较大）
你也可以通过页面中后期加载的对象（比如图片、js 文件）来传递附加的 cookie 变量
被动防御时，可过滤掉页面中非已知的连接
$ch = curl_init();$opts = array( CURLOPT_URL => 'http://your web/test.php', CURLOPT_RETURNTRANSFER => true, CURLOPT_REFERER => 'http://spider.baidu.com/', //伪造referer CURLOPT_HTTPHEADER => array( "Expect: ", ), );curl_setopt_array($ch, $opts);$s = curl_exec($ch);
你百度 curl模拟登陆 很多相关的资料. PHP实战QQ群: 33918040
OK，我再研究研究~~
每个人都需要一台速度更快、更稳定的 PC。随着时间的推移，垃圾文件、旧注册表数据和不必要的后台进程会占用资源并降低性能。幸运的是，许多工具可以让 Windows 保持平稳运行。
广告
收藏
收藏
收藏
Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
435
