PHP 怎么PHP CSRF 令牌

wen PHP项目 2026-07-30 3

PHP中CSRF令牌的完整实现指南与常见问题解答

目录导读

CSRF攻击的本质与危害
PHP中CSRF令牌的工作原理
手把手教你实现CSRF令牌系统
高级防护策略：双重验证与Token绑定
常见错误与调试方法
问答环节：开发者最关心的6个问题

CSRF攻击的本质与危害

跨站请求伪造（CSRF） 是一种利用用户已登录身份，在用户不知情的情况下执行非授权操作的攻击方式，攻击者通过构造恶意链接或表单，诱导已登录用户点击，从而在用户浏览器中向目标网站发送伪造请求。

PHP 怎么PHP CSRF 令牌

举个例子：你在银行网站登录后，点击了一个攻击者发来的“查看照片”链接，该链接实际上是向银行转账接口发起的POST请求，由于浏览器自动携带了你的会话Cookie，服务器误认为这是你的合法操作。

CSRF攻击的三大特征：

利用用户当前会话信任
无需窃取Cookie,仅需“借用”身份
主要针对状态修改请求（POST/PUT/DELETE）

PHP中CSRF令牌的工作原理

CSRF令牌的核心思想是：在服务端生成一个随机且唯一的令牌，嵌入到表单或请求中，并在每次请求时验证这个令牌的合法性，由于攻击者无法获取用户页面上的真实令牌，伪造的请求将无法通过验证。

工作流程：

用户访问表单页面时,服务器生成一个随机令牌（通常使用bin2hex(random_bytes(32))）
服务器将令牌存入Session,并嵌入到表单的隐藏字段中
用户提交表单时,令牌随请求一起发送
服务器比对请求中的令牌和Session中的令牌
一致则允许执行,不一致则拒绝请求

关键点： 令牌必须与用户Session绑定，且每次请求应使用新令牌（或一次性令牌）以提升安全性。

手把手教你实现CSRF令牌系统

以下是一个完整可用的PHP CSRF令牌实现，包含生成、验证和错误处理：

<?php
session_start();
class CSRFProtection {
    /**
     * 生成并存储令牌
     * @param string $formName 表单标识（支持多表单场景）
     * @return string 令牌值
     */
    public static function generateToken($formName = 'default') {
        $token = bin2hex(random_bytes(32));
        $_SESSION['csrf_tokens'][$formName] = [
            'token' => $token,
            'expires' => time() + 3600 // 1小时过期
        ];
        return $token;
    }
    /**
     * 验证令牌
     * @param string $userToken 用户提交的令牌
     * @param string $formName 表单标识
     * @return bool
     */
    public static function validateToken($userToken, $formName = 'default') {
        if (!isset($_SESSION['csrf_tokens'][$formName])) {
            return false;
        }
        $stored = $_SESSION['csrf_tokens'][$formName];
        // 检查过期
        if (time() > $stored['expires']) {
            unset($_SESSION['csrf_tokens'][$formName]);
            return false;
        }
        // 比较令牌（使用hash_equals防止时序攻击）
        if (!hash_equals($stored['token'], $userToken)) {
            return false;
        }
        // 验证成功后清除令牌（一次性使用）
        unset($_SESSION['csrf_tokens'][$formName]);
        return true;
    }
    /**
     * 在表单中嵌入令牌
     * @param string $formName
     * @return string HTML隐藏字段
     */
    public static function tokenField($formName = 'default') {
        $token = self::generateToken($formName);
        return '<input type="hidden" name="csrf_token" value="' . htmlspecialchars($token, ENT_QUOTES, 'UTF-8') . '">';
    }
}

在表单页面中使用：

<form method="POST" action="process.php">
    <?php echo CSRFProtection::tokenField('delete_account'); ?>
    <button type="submit">删除账户</button>
</form>

在处理请求中验证：

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['csrf_token']) || !CSRFProtection::validateToken($_POST['csrf_token'], 'delete_account')) {
        die('CSRF令牌验证失败，请求已拒绝');
    }
    // 执行业务逻辑...
}

高级防护策略：双重验证与Token绑定

1 双重Cookie验证

除了表单令牌,还可以在Cookie中设置一个独立的验证值，服务端对比请求Cookie中的值和Session中的值，形成双重保险。

2 结合SameSite Cookie

在设置会话Cookie时添加SameSite=Strict或Lax属性，可以有效阻止从外部站点发起的请求携带Cookie：

session_set_cookie_params(['samesite' => 'Strict']);
session_start();

3 令牌与用户操作绑定

对于高危操作（如转账、删除），将令牌与用户ID、操作类型和时间戳绑定，确保令牌的不可重用性：

$tokenPayload = [
    'user_id' => $user['id'],
    'action' => 'transfer',
    'timestamp' => time()
];
$token = base64_encode(json_encode($tokenPayload)) . '.' . hash_hmac('sha256', json_encode($tokenPayload), SECRET_KEY);

4 多域名场景的CSRF防范

当网站跨域请求较多时（如API服务），可考虑使用CSRF Token Header模式而非表单字段，同时结合Origin和Referer头验证。

常见错误与调试方法

错误场景	原因分析	解决方案
令牌总是验证失败	Session没有正确启动	检查`session_start()`是否在输出前调用
令牌在AJAX请求中丢失	表单未正确获取令牌	通过`<meta>`标签或API单独提供令牌
多标签页互相覆盖令牌	使用固定表单名	为每个表单生成唯一标识（如`form_'.uniqid()`）
令牌过期导致用户体验差	长时间停留页面后提交	增加令牌续期机制或友好提示

调试技巧：

// 开启错误日志查看Session内容
error_log(print_r($_SESSION['csrf_tokens'], true));
// 检查请求是否包含令牌
file_put_contents('debug.log', 
    "Token from form: " . ($_POST['csrf_token'] ?? 'N/A') . "\n", FILE_APPEND
);

问答环节：开发者最关心的6个问题

Q1: 使用Token时是否可以关闭CSRF验证？
A: 不建议，CSRF是OWASP Top 10的常见风险，即使使用HTTPS，攻击者仍可通过客户端攻击获取Token。必须始终启用验证。

Q2: Token是否需要用HTTPS传输？
A: 强烈建议，明文的Token在HTTP下可能被中间人窃取，轻量级方案可对Token进行简单加密，但更推荐直接使用HTTPS。

Q3: Laravel的CSRF实现和原生PHP有何区别？
A: Laravel自动集成Token验证，通过@csrf指令生成隐藏字段，并在VerifyCsrfToken中间件中自动验证，原生PHP需要手动实现，但原理完全一致。

Q4: 如何实现Token的自动续期？
A: 在验证成功后检查Token剩余时间，如果快要过期则生成新Token并替换Session中的值，同时返回新Token给前端更新隐藏字段。

Q5: 单页应用(SPA)如何处理CSRF？
A: 对于SPA，不建议使用表单Token，最佳实践是：设置SameSite=Strict的Cookie，并为每个API请求添加自定义Header（如X-CSRF-TOKEN），服务端验证该Header的存在即可。

Q6: 使用Token能100%防止CSRF吗？
A: 不能，但结合SameSite Cookie、验证Referer、HTTPS等措施后，抵御能力远高于没有防护，如果网站存在XSS漏洞，攻击者仍可窃取Token，因此必须同时防范XSS。

CSRF令牌是PHP开发者必须掌握的基础安全技能，本文从原理到实战，再到问答纠错，提供了一套完整的知识体系，建议你在每个涉及状态修改的请求中都加入Token验证，并定期审查代码中是否有遗漏的接口，安全无小事，任何一次忽视都可能带来灾难性后果。