php - 如何保护 PHP 表单？

Question

我不运营关键任务网站，因此我不在寻找具有工业实力的解决方案。但是，我想防止基本攻击，例如有人在硬盘上模拟错误页面并试图获得未经授权的访问。是否有任何标准技术来确保表单提交只被合法使用所接受？

Answer 1

一些技术接近:

• 为每个表单生成一个表单 key 。 key 将与数据库记录以及页面 View 的其他独特内容(用户 ID、cookie 等)相关。如果表单 key 与该用户/cookie 不匹配，则无法发布表单。 key 仅使用一次，防止自动化工具使用被盗 key (针对该用户)再次发布。
• 表单 key 也可以是共享 secret 哈希:生成表单的 PHP 可以对 cookie 和用户 ID 进行哈希处理，例如，您可以在发布表单时进行验证。
• 您可以添加验证码，要求用户进行验证。
• 您还可以限制来自该用户/cookie 的帖子数量(节流)，这可以防止某些形式的自动滥用。

您不能保证表单不是从磁盘发布的，但您可以限制它自动化的难易程度。