PHP - 如何在同一页面上以多种形式使用 csrf 令牌

Question

我在同一页面上有 2 个表单。我想以两种形式使用 csrf 令牌。当我尝试使用它时，它会在提交表单时重新生成 csrf 令牌。

我该如何解决这个问题？

<?php

function csrf_token() {
    return bin2hex(random_bytes(35));
}

function create_csrf_token() {
    $token = csrf_token();
    $_SESSION['csrf_token'] = $token;
    $_SESSION['csrf_token_time'] = time();
    return $token;
}

function csrf_token_tag() {
    $token = create_csrf_token();
    return '<input type="hidden" name="csrf_token" value="' . $token . '">';
}

$csrf_token = csrf_token_tag();
?>

<form action="" method="post">
    ...
    <?= $csrf_token; ?>
</form>

<form action="" method="post">
    ...
    <?= $csrf_token; ?>
</form>

Answer 1

当您刷新页面时，函数created_csrf_token 会再次被触发，从而更改 CSRF 令牌。

正如 Lawrence 所评论的，您可以确定它的范围。例如

<?php

function csrf_token() {
    return bin2hex(random_bytes(35));
}

function create_csrf_token() {
    if (isset($_SESSION['csrf_token'])) {
        return $_SESSION['csrf_token'];
    }
    $token = csrf_token();
    $_SESSION['csrf_token'] = $token;
    $_SESSION['csrf_token_time'] = time();
    return $token;
}

function csrf_token_tag() {
    $token = create_csrf_token();
    return '<input type="hidden" name="csrf_token" value="' . $token . '">';
}

$csrf_token = csrf_token_tag();
?>

<form action="" method="post">
    ...
    <?= $csrf_token; ?>
</form>

<form action="" method="post">
    ...
    <?= $csrf_token; ?>
</form>

将 isset 添加到 create_csrf_token 将检查是否设置了 CSRF 令牌，并返回现有的，而不是创建一个新的。

您可能想要添加一些逻辑，以在大约 5 分钟后创建一个新的 CSRF 令牌。