php - 这会阻止跨站点请求伪造尝试吗？

Question

作为我的安全编码类(class)的一部分，我正在考虑一种阻止跨站点请求伪造攻击的方法。

我在想，如果我可以阻止尝试使用与该页面所在的地址不同的地址连接到我的网站......但这会起作用吗？如果没有，有什么更好的方法？

如果我这样做是我的尝试怎么办:

// assuming my page is still on 192.168.195.128
if($_SERVER['REQUEST_METHOD'] == 'POST' && 
    $_SERVER["HTTP_HOST"] != "192.168.195.128")
{
    echo 'Cross-site request forgery attempt!';
}
else
{
    // continue normal execution
}

Answer 1

不，这不会阻止 CSRF。

您需要的是某种类型的 token ，该 token 会传递给用户以在表单提交时发回。此 token 只能在特定位置使用一次。

CSRF 的工作原理是将通用请求发送到用户当前所在的不同站点，通常利用他们已经通过身份验证以及被攻击站点上没有的事实。这些请求来自用户的浏览器，看起来就像普通的请求。您可以检查引用者，但通常认为以表单形式传递的简单 token 更好。