PHP处理CSRF攻击

CSRF（跨站请求伪造，Cross-Site Request Forgery）是一种网络攻击手段，攻击者通过某种手段使得受害者在不知情的情况下发送一个请求到目标网站，而该网站认为这个请求是受害者故意发送的。PHP作为一种广泛使用的服务器端脚本语言，也面临着CSRF攻击的风险。为了防止CSRF攻击，可以采取以下措施：

1. 使用CSRF令牌（CSRF Token）

在表单中添加一个随机生成的CSRF令牌，并将其存储在用户的会话中。当用户提交表单时，会验证提交的令牌与会话中的令牌是否一致。如果不一致，则拒绝请求。

示例代码：

session_start();

// 生成一个随机CSRF令牌
$csrf_token = bin2hex(random_bytes(32));
$_SESSION['csrf_token'] = $csrf_token;

// 在表单中添加一个隐藏字段，用于存储CSRF令牌
echo '<input type="hidden" name="csrf_token" value="' . htmlspecialchars($csrf_token) . '">';

2. 验证Referer头

检查HTTP请求的Referer头，确保请求是从合法站点发起的。这种方法并不完全可靠，因为Referer头可以被伪造，但在某些情况下仍然可以作为辅助手段。

示例代码：

if (!empty($_SERVER['HTTP_REFERER']) && $_SERVER['HTTP_REFERER'] !== 'https://example.com') {
    // 处理请求
} else {
    // 拒绝请求
}

3. 使用同源策略（Same-Origin Policy）

确保你的PHP应用遵循同源策略，即只允许来自相同域名、协议和端口的请求。这可以通过检查HTTP请求的Origin头来实现。

示例代码：

if ($_SERVER['HTTP_ORIGIN'] !== 'https://example.com') {
    // 拒绝请求
} else {
    // 处理请求
}

4. 使用HTTP-only Cookie

将敏感信息（如用户ID）存储在HTTP-only Cookie中，这样客户端脚本无法访问这些Cookie，从而降低CSRF攻击的风险。

示例代码：

setcookie('user_id', 123, time() + 3600, '/', 'example.com', true, true);

总之，防止CSRF攻击的关键是在服务器端采取多种措施来验证请求的合法性。使用CSRF令牌是最常用的方法，但也可以结合其他方法来提高安全性。