如何使用PHP框架防范CSRF

跨站請求偽造（CSRF）是一種網(wǎng)絡攻擊，攻擊者通過偽造已經(jīng)登錄的用戶發(fā)起惡意請求

1. 使用CSRF令牌：在用戶提交表單時，添加一個隱藏字段，包含一個隨機生成的、不可預測的令牌。將該令牌存儲在用戶的會話中，并在表單提交時進行驗證。這樣，只有知道正確令牌的請求才能通過驗證。

// 生成 CSRF 令牌
session_start();
$csrf_token = bin2hex(random_bytes(32));
$_SESSION['csrf_token'] = $csrf_token;

// 在表單中添加隱藏字段
echo '<form action="submit.php" method="post">';
echo '<input type="hidden" name="csrf_token" value="' . $csrf_token . '">';
// 其他表單字段...
echo '</form>';

// 驗證 CSRF 令牌
if (isset($_POST['csrf_token']) && $_POST['csrf_token'] === $_SESSION['csrf_token']) {
    // 處理表單數(shù)據(jù)
} else {
    // 無效的 CSRF 令牌，拒絕請求
}

2. 使用框架內置的CSRF保護：許多PHP框架都提供了內置的CSRF保護機制。例如，Laravel框架提供了一個名為@csrf的Blade指令，可以輕松地在表單中添加CSRF令牌。

<!-- Laravel Blade 模板 -->
<form action="/submit" method="post">
    @csrf
    <!-- 其他表單字段... -->
</form>

3. 雙重cookie提交：在此方法中，要求客戶端發(fā)送兩個相同的cookie，一個作為 HTTP Cookie 頭，另一個作為請求參數(shù)（例如表單字段或請求頭）。只有當這兩個值相同時，請求才會被接受。

// 設置 cookie
session_start();
setcookie('csrf_token', $_SESSION['csrf_token'], 0, '/');

// 驗證 cookie
if (isset($_COOKIE['csrf_token']) && isset($_POST['csrf_token']) && $_COOKIE['csrf_token'] === $_POST['csrf_token']) {
    // 處理表單數(shù)據(jù)
} else {
    // 無效的 CSRF 令牌，拒絕請求
}

4. 使用 SameSite 屬性：通過設置 cookie 的 SameSite 屬性，可以防止瀏覽器在跨站點請求時發(fā)送 cookie。這樣，攻擊者無法利用用戶的登錄狀態(tài)發(fā)起惡意請求。

// 設置 SameSite 屬性
session_start();
setcookie('csrf_token', $_SESSION['csrf_token'], ['samesite' => 'Strict']);

5. 使用 Content Security Policy：Content Security Policy (CSP) 是一種安全策略，可以限制頁面上的內容來源。通過設置合適的 CSP 策略，可以防止攻擊者利用跨站點腳本（XSS）漏洞發(fā)起 CSRF 攻擊。

Content-Security-Policy: default-src 'self'; script-src 'self' https://trustedscripts.example.com;

結合以上方法，可以有效地防范 CSRF 攻擊。在選擇方法時，請根據(jù)您的應用程序和框架需求進行權衡。