PHP CSRF防护

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种常见的Web安全威胁，攻击者利用用户已登录的身份，在用户不知情的情况下执行非预期的操作。PHP开发者必须理解并实施有效的CSRF防护措施，以保护表单提交和敏感操作的安全性。

什么是CSRF攻击？

CSRF攻击发生在攻击者诱使用户浏览器向目标网站发送恶意请求时。例如，如果用户已登录银行网站，攻击者可以通过伪造请求（如转账操作）来利用用户的会话状态。

如何防护CSRF攻击

PHP中常用的CSRF防护方法是使用CSRF令牌（Token）。以下是实现步骤：

1. 生成CSRF令牌

在表单显示时生成唯一令牌，并存储在会话中：

<?php
session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
?>

2. 在表单中嵌入令牌

将令牌作为隐藏字段添加到HTML表单：

<form action="process.php" method="POST">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
    <!-- 其他表单字段 -->
    <input type="submit" value="提交">
</form>

3. 验证令牌

在处理表单提交时验证令牌是否匹配：

<?php
session_start();
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        die("CSRF令牌验证失败！");
    }
    // 安全处理表单数据
}
?>

高级防护技术

对于需要更高安全性的应用，可以考虑以下增强措施：

同源检测

检查Origin或Referer头部：

$allowedOrigins = ['https://yourdomain.com'];
if (!in_array($_SERVER['HTTP_ORIGIN'], $allowedOrigins, true)) {
    die("非法请求来源！");
}

双重提交Cookie

1. 设置包含CSRF令牌的Cookie 2. 要求AJAX请求在头部携带相同令牌

实际案例

案例：电子商务网站支付系统 假设攻击者构造了如下恶意页面：

<img src="https://example.com/transfer?amount=1000&to=attacker" width="0" height="0">

防护方案： 1. 支付表单必须包含CSRF令牌 2. 后端验证令牌有效性 3. 对敏感操作要求二次认证

数学原理

CSRF防护的核心是确保请求的不可预测性。令牌的熵值计算： $H = - \sum_{i = 1}^{n} P (x_{i}) \log_{b} P (x_{i})$ 其中256位随机令牌的熵值达到256比特，使暴力破解不可行。

常见错误及解决方案

CSRF防护常见问题
错误	解决方案
令牌不更新	每次表单提交后重新生成令牌
令牌范围过广	为不同功能使用独立令牌
仅依赖Cookie	结合表单令牌和Cookie验证

总结

有效的CSRF防护需要： 1. 为每个表单生成唯一令牌 2. 严格验证服务器端令牌 3. 对敏感操作实施额外保护 4. 保持令牌的机密性和随机性

通过实施这些措施，PHP开发者可以显著降低CSRF攻击的风险，保护用户数据和系统安全。