如何防止 PHP 中的跨站請求偽造 (CSRF) 攻擊？

防止 PHP 中的 CSRF

跨站請求偽造 (CSRF) 是一種攻擊，其中惡意網站代表合法網站發送請求經過身份驗證的用戶。這可能允許攻擊者執行使用者無意的操作，例如更改密碼或進行詐欺性購買。

緩解CSRF 攻擊

有多種技術可用於防止PHP中的CSRF攻擊，包括：

1.要求在GET 和POST 參數中進行身份驗證，而不僅僅是Cookie

此措施通過要求GET 和POST中都存在有效的身份驗證令牌來限制惡意網站代表經過身份驗證的使用者發送請求的能力請求的 POST 參數。

2.檢查 HTTP Referer 標頭

HTTP Referer 標頭包含引用目前頁面的頁面的 URL。透過檢查Referer頭，可以偵測請求是來自合法來源還是惡意網站。

Kohana PHP框架中的實作

驗證GET和POST參數

在Kohana 中，可以使用Valid::not_empty() 規則來驗證GET 和POST 參數以確保它們不為空。例如：

$rules = array(
    'get_param' => array(
        array('not_empty')
    ),
    'post_param' => array(
        array('not_empty')
    )
);
$validation = Validation::factory($request->query() + $request->post())
    ->rules($rules);
if (!$validation->check()) {
    // CSRF attack detected
}

檢查 HTTP Referer 標頭

在 Kohana 中，您可以使用 Request::referrer() 方法來取得引用的 URL頁。要檢查Referer 標頭是否有效，您可以將其與預期值進行比較：

$referrer = $request->referrer();
if ($referrer !== $expected_referrer) {
    // CSRF attack detected
}

使用一次性令牌

最有效的方法防止CSRF攻擊的方法是使用一次性令牌。該令牌在伺服器上產生並儲存在會話中。當使用者提交表單時，令牌將包含在請求中。然後，伺服器驗證令牌，如果有效，則完成請求。

要在 Kohana 中實作一次性令牌，您可以使用以下步驟：

1. 產生隨機令牌並將其儲存在會話中。
2. 以使用者指定的形式包含令牌提交。
3. 在完成請求之前在伺服器端驗證令牌。

以上是如何防止 PHP 中的跨站請求偽造 (CSRF) 攻擊？的詳細內容。更多資訊請關注PHP中文網其他相關文章！