php - 使用 HTML 形式的 token 并检查 PHP 代码的原因

Question

在代码中我看到了为登录页面创建的 token :

$token = $_SESSION['token'] = md5(uniqid(mt_rand(),true));

然后这个 token 在登录表单中作为隐藏输入回显并在提交时，用于验证登录的 php 代码也会检查这个 token ，例如:

public function isTokenValid()
{
  return (!isset($_SESSION['token']) || $this->_token != $_SESSION['token'])? 0 : 1;
}

这个 token 有什么用？

编辑: 这个页面描述了它的使用:https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)_Prevention_Cheat_Sheet

Answer 1

像这样的方法通常用于防止CSRF vulnerabilities