PHP處理CSRF攻擊

CSRF（跨站請求偽造，Cross-Site Request Forgery）是一種網絡攻擊手段，攻擊者通過某種手段使得受害者在不知情的情況下發送一個請求到目標網站，而該網站認為這個請求是受害者故意發送的。PHP作為一種廣泛使用的服務器端腳本語言，也面臨著CSRF攻擊的風險。為了防止CSRF攻擊，可以采取以下措施：

1. 使用CSRF令牌（CSRF Token）

在表單中添加一個隨機生成的CSRF令牌，并將其存儲在用戶的會話中。當用戶提交表單時，會驗證提交的令牌與會話中的令牌是否一致。如果不一致，則拒絕請求。

示例代碼：

session_start();

// 生成一個隨機CSRF令牌
$csrf_token = bin2hex(random_bytes(32));
$_SESSION['csrf_token'] = $csrf_token;

// 在表單中添加一個隱藏字段，用于存儲CSRF令牌
echo '<input type="hidden" name="csrf_token" value="' . htmlspecialchars($csrf_token) . '">';

2. 驗證Referer頭

檢查HTTP請求的Referer頭，確保請求是從合法站點發起的。這種方法并不完全可靠，因為Referer頭可以被偽造，但在某些情況下仍然可以作為輔助手段。

示例代碼：

if (!empty($_SERVER['HTTP_REFERER']) && $_SERVER['HTTP_REFERER'] !== 'https://example.com') {
    // 處理請求
} else {
    // 拒絕請求
}

3. 使用同源策略（Same-Origin Policy）

確保你的PHP應用遵循同源策略，即只允許來自相同域名、協議和端口的請求。這可以通過檢查HTTP請求的Origin頭來實現。

示例代碼：

if ($_SERVER['HTTP_ORIGIN'] !== 'https://example.com') {
    // 拒絕請求
} else {
    // 處理請求
}

4. 使用HTTP-only Cookie

將敏感信息（如用戶ID）存儲在HTTP-only Cookie中，這樣客戶端腳本無法訪問這些Cookie，從而降低CSRF攻擊的風險。

示例代碼：

setcookie('user_id', 123, time() + 3600, '/', 'example.com', true, true);

總之，防止CSRF攻擊的關鍵是在服務器端采取多種措施來驗證請求的合法性。使用CSRF令牌是最常用的方法，但也可以結合其他方法來提高安全性。