将 CSRF 添加到 formtoemailpro.php

Question

关注https://codeutopia.net/blog/2008/10/16/how-to-csrf-protect-all-your-forms/的帖子

我正在尝试将代码添加到 formtoemailpro.php https://formtoemail.com/developer_pricing.php

我将密钥生成器添加到表单页面：

//Generate a key, print a form:
$key = sha1(microtime());
$_SESSION['csrf'] = $key;

还有隐藏字段：

<input type="hidden" name="csrf" value="<?php echo $key; ?>" />

但我无法将以下内容添加到 formtoemailpro.php 并使其正常工作。我已将上半部分放在表单的顶部，将“}”放在底部，并添加了“if（！isset”表达式以及表单处理部分的其他类似元素，但我失败了。

if($_SERVER['REQUEST_METHOD'] == 'POST')
            //Here we parse the form
if(!isset($_SESSION['csrf']) || $_SESSION['csrf'] !== $_POST['csrf'])
 throw new RuntimeException('CSRF attack');
 //Do the rest of the processing here
}

我很抱歉我的无知，请任何人帮助我吗？

谢谢。

Answer 1

如果我低估了你的问题，这就是你需要做的：

if($_SERVER['REQUEST_METHOD'] == 'POST'){
    //Here we parse the form
}

if(!isset($_SESSION['csrf']) || $_SESSION['csrf'] !== $_POST['csrf']){
    throw new RuntimeException('CSRF attack');
 //Do the rest of the processing here
}

确保将“{”、“}”放在代码块上。

另外，确保在任何输出之前调用$_SESSION['csrf'] = $key;。 （回声，打印等......）。看this关于会话的问答。