php 表单 : prevent outside posters with tokens

Question

我正在制作一个有趣的网页游戏，其中包含许多将数据发布到 php 页面的表单。有哪些方法可以防止人们使用自己的网络表单在我的网站上发帖？

我的知识 PHP 不是太先进。所以，虽然我一直在研究这个话题，但不幸的是，我找到的答案让我有点困惑。我从之前发现这个 SO 问题解决了这个问题:Secure ajax form POST .我对第一个答案有些困惑，想知道是否有人可以在 PHP 中提供示例。我正在努力解决的一些具体问题是:

您将如何在服务器上的某处保存 token ？

你如何决定那个 token 应该是什么？

如果有人在网站上，他们不能只查看来源和
查看隐藏输入元素中的标记并在自己的元素中使用它
第三方形式？

谢谢你的帮助!

Answer 1

您可以使用许多 CSRF 预防库。一个是CSRFGuard at OWASP

您也可以阅读 main CSRF page了解问题和CSRF Prevention Cheat Sheet了解实现设计背后的原理。

如果您已经阅读并理解了这些问题，那么如果您希望构建自己的实现，那么添加自己的保护应该是一项简单的工作。

请记住，如果您有任何 XSS vulnerabilities ，您的 CSRF 保护可以简单地绕过。所以一定要了解XSS Prevention还。