繞過提交表單的cookie請求

Question

我們正在努力確保我們的網站安全 - 有人可能在提交表單時繞過我們網站對cookie的要求嗎？ 我們正在嘗試防止跨站點攻擊。 謝謝

Answer 1

我想你的意思是跨站請求僞造（CSRF）。這可以通過表單中的特殊CSRF令牌輕鬆阻止。

每次顯示錶單時，標記都應該不同。

<?php 
    $token = md5(time()); /* a simple attempt to generate a token */ 
    $_SESSION['csrf_token'] = $token; 
?> 

將它包含在您的表單中。

<form> 
    <input type="hidden" name="csrf_token" value="<?php echo $token ?>"> 
    ... 
</form> 

然後在表單提交的服務器上驗證它。

<?php 
    $storedToken = $_SESSION['csrf_token']; 
    unset($_SESSION['csrf_token']); 
    if ($_POST['csrf_token'] == $storedToken) { ... } 
?> 

確保令牌只能使用一次。

還使用SSL以提高安全性，如果尚未到位。