1.做事端进行CSRF防御
做事真个CSRF办法方法很多样，但总的思想都是同等的，便是在客户端页面增加伪随机数。
(1).Cookie Hashing(所有表单都包含同一个伪随机值)：
这可能是最大略的办理方案了，由于攻击者不能得到第三方的Cookie(理论上)，以是表单中的数据也就布局失落败了:>
<?php
//布局加密的Cookie信息
$value = “DefenseSCRF”;
setcookie(”cookie”, $value, time()+3600);
?>
在表单里增加Hash值，以认证这确实是用户发送的要求。
<?php
$hash = md5($_COOKIE['cookie']);
?>
<form method=”POST” action=”transfer.php”>
<input type=”text” name=”toBankId”>
<input type=”text” name=”money”>
<input type=”hidden” name=”hash” value=”<?=$hash;?>”>
<input type=”submit” name=”submit” value=”Submit”>
</form>
然后在做事器端进行Hash值验证
<?php
if(isset($_POST['check'])) {
$hash = md5($_COOKIE['cookie']);
if($_POST['check'] == $hash) {
doJob();
} else {
//...
}
} else {
//...
}
?>
这个方法个人以为已经可以杜绝99%的CSRF攻击了，那还有1%呢....由于用户的Cookie很随意马虎由于网站的XSS漏洞而被盗取，这就其余的1%。一样平常的攻击者看到有须要算Hash值，基本都会放弃了，某些除外，以是如果须要100%的杜绝，这个不是最好的方法。
(2).验证码
这个方案的思路是：每次的用户提交都须要用户在表单中填写一个图片上的随机字符串，厄....这个方案可以完备办理CSRF，但个人以为在易用性方面彷佛不是太好，还有听闻是验证码图片的利用涉及了一个被称为MHTML的Bug，可能在某些版本的微软IE中受影响。
(3).One-Time Tokens(不同的表单包含一个不同的伪随机值)
在实现One-Time Tokens时，须要把稳一点：便是“并行会话的兼容”。如果用户在一个站点上同时打开了两个不同的表单，CSRF保护方法不应该影响到他对任何表单的提交。考虑一下如果每次表单被装入时站点天生一个伪随机值来覆盖以前的伪随机值将会发生什么情形：用户只能成功地提交他末了打开的表单，由于所有其他的表单都含有造孽的伪随机值。必须小心操作以确保CSRF保护方法不会影响选项卡式的浏览或者利用多个浏览器窗口浏览一个站点。
以下我的实现:
1).先是令牌天生函数(gen_token())：
<?php
function gen_token() {
//这里我是贪方便，实际上单利用Rand()得出的随机数作为令牌，也是不屈安的。
$token = md5(uniqid(rand(), true));
return $token;
}
2).然后是Session令牌天生函数(gen_stoken())：
<?php
function gen_stoken() {
$pToken = \"大众\公众;
if($_SESSION[STOKEN_NAME] == $pToken){
//没有值，赋新值
$_SESSION[STOKEN_NAME] = gen_token();
}
else{
//连续利用旧的值
}
}
?>
3).WEB表单天生隐蔽输入域的函数：
<?php
function gen_input() {
gen_stoken();
echo “<input type=\”hidden\” name=\”\"大众 . FTOKEN_NAME . “\”
value=\”\公众 . $_SESSION[STOKEN_NAME] . “\”> “;
}
?>
4).WEB表单构造：
<?php
session_start();
include(”functions.php”);
?>
<form method=”POST” action=”transfer.php”>
<input type=”text” name=”toBankId”>
<input type=”text” name=”money”>
<? gen_input(); ?>
<input type=”submit” name=”submit” value=”Submit”>
</FORM>
5).做事端核对令牌：
这个很大略，这里就不再啰嗦了。
上面这个实在不完备符合“并行会话的兼容”的规则，大家可以在此根本上修正。
