PHP CSRF 防御 随着网站用户越来越多和复杂的网站功能，安全性问题越来越引人注目。传统的安全问题一般是攻击者入侵服务器或者使用弱密码获取用户身份信息。然而，最新的安全问题，如 CSRF （Cross-Site Request Forgery），可能会使用户在不知情的情况下执行不安全的操作。 什么是CSRF？ CSRF 是一种攻击方法，它会利用用户在其他网站上已经登录之后的有效会话来伪造一个请求来向目标服务器发出请求。这种攻击充分利用了 Web 应用的工作方式，任何顺利完成了身份验证的用户都可以立即受到这种攻击的伤害。 比如说，一个用户在某些网站中已经成功登录过，并且他在此之前打开了少数几个页面。当用户在几个小时之后访问目标服务器时，他在目标服务器上访问的仍然是已登录的状态。如果目标服务器没有进行 CSRF 防御措施，攻击者就有可能伪造一个请求，将操作提交到该服务器。这些操作可能是注册账户，发送电子邮件，通过 SMS 代码发送短信或在商店中下订单。 如何防御 CSRF 攻击？ HTTP 请求通常会包含 HTTP 发送头和 POST 体，其中包含各种各样的信息（例如用户登录凭证、表单内容等）。这些信息可以在请求处理期间用于验证用户的身份。 可以通过以下措施来保护您的网站免受 CSRF 攻击： 1. 验证请求来源头部 检查每个 POST 请求的 Referer 标头，以确保在处理感兴趣的请求时，该标头包含您站点的 URL。 因为 CSRF 攻击通常使用不存在 Referer 标头或无法检测到的来源。 例如：

if($_SERVER['HTTP_REFERER']==="https://example.com")
{
//处理请求
}
else
{
//不做任何操作
}

2. 使用 CSRF Token 防御 CSRF Token 机制是一项预防措施，它要求每个底层请求都包含随机，特定于用户和会话的值。这个值被称为令牌，因为它是记住服务器上的值的随机字符串。 浏览器从服务端拿到这个令牌，并将其添加到 HTTP 请求参数中，作为预防措施之一。 在用户界面，开发人员将在表单中添加隐藏字段，其中包含令牌。在服务端，开发人员需要在处理任何 POST 请求之前验证令牌是否存在且值正确。 只有在通过验证时尝试处理请求。 例如：

//生成CSRF Token
$csrfToken = bin2hex(random_bytes($lengthOfToken));
// 添加CSRF Token到表单中
echo '';
// 验证CSRF Token
if (isset($_POST['csrf_token']) && $_POST['csrf_token'] === $csrfToken) {
//处理请求
} else {
//报错
die("CSRF验证失败");
}

总结 虽然是一个公认的威胁，但与跨站脚本攻击（XSS）和 SQL 注入相比，CSRF 攻击似乎更为令人担忧。 不仅如此，他也在日益增长的网络攻击中有更大的可信度和获利性。 然而，与其他 Web 安全问题一样，预防措施通常相对简单，执行起来也有很大的裨益，能够帮助大家免受此类攻击带来的危害。