php - 防站外提交(csrf)有什么好办法?
PHPz
PHPz 2017-04-10 14:37:25
[PHP讨论组]

需要代码,如何防止站外提交数据

PHPz
PHPz

学习是最好的投资!

全部回复(3)
高洛峰

比较常见的方法是给每个需要提交数据的表单产生一个hashkey,提交的时候一起带上就行。

PHP中文网
  1. 检查 referrer header
  2. 如果用户的id是用户以外的其他人看不到的,可以在请求里带上用户的id
  3. 请求里带上一个token,token可以是绑定用户,也可以是每次请求生成(*)
  4. 提交请求后,服务器确认后再执行请求对应的操作,例如弹出对话框要求用户确认
  5. 提醒用户在访问你的网站的时候不要访问其他站点
  6. 提醒用户及时登出
  7. 用户关闭页面后就登出用户
  8. 用户一定时间未操作就登出用户

* token每次生成比较头痛的就是并行兼容的问题,如何对付客户用多个标签页浏览同一网页时,各个标签页的行为一致,需要小心处理。我喜欢折中一下,token采取绑定用户+超时,但不绑定请求的方式。保持一定便利性的同时,简单降低token长期不变带来的回放攻击的风险。 @沙渺

阿神

请求带上一个token,token可以考虑绑定用户,提交请求后,服务器确认后再执行请求

热门教程
更多>
最新下载
更多>
网站特效
网站源码
网站素材
前端模板
关于我们 免责申明 举报中心 意见反馈 讲师合作 广告合作 最新更新
php中文网:公益在线php培训,帮助PHP学习者快速成长!
关注服务号 技术交流群
PHP中文网订阅号
每天精选资源文章推送

Copyright 2014-2026 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号