Question

I m astartner working on alogin script in PHP. 这是我迄今所做的象征性发言:

$_SESSION["form_token"] = md5(rand(time (), true)) ;

该声明是在用户表示他/她希望登录后才发布的。

我的有限理解是,象征性的目的是在一个独特的时间点确定一个独特的用户,并掩饰象征性信息的形式。

然后,所有东西都变成了幻觉。我的3个公开问题:

什么时候“检查”为安全目的标出的形式?
我如何检查?
如果是这样的话,我何时“des”被打成什么形式? (IOW,在用户记录出来之前,象征性停留的形式是否“有效?)

Answer 1

没有必要做你试图做的事情。当你开始用本届会议开始时,已经为你编制了一个独特的会议安排。请将此列入表格。它通过 default处理。也不需要检查会议安排,这还是由你处理。

您负责认证用户并储存其认证身份(例如:SESSION[用户_id] = 用户美元)。页: 1 如果用户记录显示,你会用会议时间销毁会议。

您应确保会议开始: 页: 1

这方面的基本实例是:

<?php
session_start(); // starts new or resumes existing session
session_regenerate_id(true); // regenerates SESSIONID to prevent hijacking

function login($username, $password)
{
    $user = new User();
    if ($user->login($username, $password)) {
        $_SESSION[ user_id ] = $user->getId();
        return true;
    }
    return false;
}

function logout()
{
    session_destroy();
}

function isLoggedIn()
{
    return isset($_SESSION[ user_id ]);
}

function generateFormHash($salt)
{
    $hash = md5(mt_rand(1,1000000) . $salt);
    $_SESSION[ csrf_hash ] = $hash
    return $hash;
}

function isValidFormHash($hash)
{
    return $_SESSION[ csrf_hash ] === $hash;
}

Edit: I misunderstood the original question. 我添加了以上有关生成和验证表 has的方法;

请参看以下资源:

Answer 2

这是为了防止欧洲公路运输联盟的攻击。

a 恶意网站理论上可以显示一种表格,在您申请中张贴。表格可能包含导致数据违约或某些不想要行动的指示。用户可能因为用户已经登记而被迫提交用户会接受的表格。 a 表格确保表格由贵网站而不是其他地点制作。

检查吉大港定居地保有权――REFER常常是好的,但并不能完全解决问题(例如,httpss for example/2006/2 t sent the referer string)。

如果你真的想以象征性的方式确保一切形式的安全,你可以发挥一些便利作用,例如:Token()和支票Token(),使其在全地点工作。

一些实例:

rel=“noreferer”> http://phpsec.org/projects/guide/2.html。

http://www.rodsdot.com/php/CSRF_Form_Protection.php

Answer 3

你可以检查冻结的框架执行情况。

除了具体实施外,《手册》还描述了这种内容的推理和用法形式。

Its Zend_Form_Element_Hash https://docs.zendframework.com/zend-form/element/csrf/

友情链接