如何使用 Zend 框架保护用户免受跨站点请求伪造？

Question

我的程序使用 Zend Framework，我想使用 Zend_Form_Element_Hash 保护用户免受 CSRF 的影响。但这似乎不起作用。

例如，我的注销表单代码是

    $exithash = new Zend_Form_Element_Hash('hihacker', array('salt' => 'exitsalt'));
    $this->addElement($exithash);

在我的控制器 Auth 插件中我这样做

    $exitForm = new R00_Form_Exit();

    if ($exitForm->isValid($_POST)) {
        R00_Auth::logout(); // a wrapper for Zend_Auth::getInstance()->clearIdentity();

        Zend_Registry::get('Log')->info('User has logged out');

        $this->setRedirect($request); // redirect to the current page
    }

在我的布局中

    echo new R00_Form_Exit();

好的。但它不起作用，我点击表单的提交按钮，页面重新加载但身份仍然存在。

正如我所意识到的，Zend_Form_Element_Hash 每次表单创建时都会生成新的哈希值，并将用户的哈希值与会话的哈希值进行比较——最后生成的哈希值！这很奇怪。例如，即使我尝试在我的应用程序中仅创建一个 R00_Form_Exit，将其存储在注册表中并从中回显，从我的站点“在新选项卡中”打开页面也会导致所有此类受 csrf 保护的表单停止工作。

那么，我该如何保护？

Answer 1

您应该检查 Zend_Form_Element_Hash 是否能够将散列保存到 Zend_Session_Namespace 中。根据该元素的文档，这是预期的行为：Zend Documentation

Answer 2

它应该是不同的，每次你调用散列生成器，在你指定的 SESSION 命名空间和位置。这就是为什么您只在构建实际表单时才创建散列。这样做会存储一跳的哈希（意味着页面加载），然后（尤其是）在为用户重新生成表单时忘记它。 这就是 CSRF 的宗旨！通过使过期的表单无效来防止表单劫持。 （基本上）

如果由于哈希值每次更改而无法“验证”表单，则说明您执行任务的顺序错误，需要重新评估流程。

Answer 3

在这里我提出我自己的解决方案。但它仍然不是很酷，所以我很高兴听到任何其他更好的解决方案和 cmets。

我从每个用户的密码哈希和其他参数生成一个哈希。在他更改密码之前，每个用户的哈希值都是不变的：

   public function getSecurityHash() {
          return md5( $this->getIntID() . $this->getLogin() . 'R00SuperSalt' );
   }

并且，形式为：

    $exithash = new Zend_Form_Element_Hidden('exithash');
    $exithash->setValue( R00_Auth::getUser()->getSecurityHash() )
             ->addValidator('Identical', false, array(
                R00_Auth::getUser()->getSecurityHash()
              ))
             ->setDecorators(array('ViewHelper'))
             ->setRequired(true);