PHP 8.4 不内置 CSRF 防护,但通过 random_bytes() 生成 ≥32 字节令牌、hash_equals() 安全比对、绑定 Session 并单次有效,可构建健壮防护;须避免 GET 传参、未校验请求方法及 AJAX 漏检。
PHP 8.4 本身不内置 CSRF 令牌生成与验证机制,但利用其新增的 random_bytes() 强随机性、hash_equals() 安全比较,以及 Session 增强支持,可以构建比 PHP 7.x 更健壮的 CSRF 防护。关键不在版本新旧,而在是否正确使用底层安全原语。
PHP 8.4 的 random_bytes() 默认使用更严格的 CSPRNG(如 Linux 的 /dev/urandom 或 Windows 的 BCryptGenRandom),不再依赖已废弃的 mcrypt 或弱熵源。必须避免用 rand()、mt_rand() 或时间戳拼接生成令牌。
$_SESSION['user_id'] 或 session_id()),不能全局复用bin2hex(random_bytes(32)) 生成 URL 安全字符串
对 session_id() . time() 用 hash_hmac('sha256', $data, $_SESSION['csrf_key'] ??= bin2hex(random_bytes(16)))
$_SESSION['csrf_token'] 即可,无需数据库验证阶段最容易出错的是“松散比较”和“未清除已用令牌”。PHP 8.4 的 hash_equals() 是唯一推荐的字符串比较函数,它能防御时序攻击;任何用 == 或 === 比较令牌都会导致绕过风险。
$_POST['csrf_token'] ?? '',禁止直接 $_REQUEST(可能被 GET 注入)if (session_status() !== PHP_SESSION_ACTIVE) { die('CSRF check failed'); }
hash_equals($_SESSION['csrf_token'] ?? '', $_POST['csrf_token'] ?? ''),返回 true 才继续处理unset($_SESSION['csrf_token']) 或生成新令牌(防止重复提交)很多“看似防住了”的 CSRF 实现,在 PHP 8.4 下仍可能被绕过,根源常在于逻辑漏洞而非函数过时。
—— 会被浏览器预加载、Referer 泄露、代理缓存,PHP 8.4 无法挽救这种设计错误;必须只在 POST/PUT/DELETE 表单中用
$_SESSION['csrf_token'],攻击者可先登录自己账号获取令牌,再诱导目标用户提交;必须每个 Session 独立生成$_SERVER['REQUEST_METHOD'] === 'POST',可能导致 GET 接口被伪造调用X-CSRF-Token: xxx,后端用 $_SERVER['HTTP_X_CSRF_TOKEN'] ?? '' 获取并验证,不能只依赖 Cookiefunction generate_csrf_token(): string
{
$token = bin2hex(random_bytes(32));
$_SESSION['csrf_token'] = $token;
$_SESSION['csrf_expires'] = time() + 1800; // 30 minutes
return $token;
}
function verify_csrf_token(string $submitted_token): bool
{
if (!isset($_SESSION['csrf_token'], $_SESSION['csrf_expires']) || time() > $_SESSION['csrf_expires']) {
unset($_SESSION['csrf_token'], $_SESSION['csrf_expires']);
return false;
}
$valid = hash_equals($_SESSION['csrf_token'], $submitted_token);
if ($valid) {
unset($_SESSION['csrf_token'], $_SESSION['csrf_expires']);
}
return $valid;
}
真正难的是让每个表单、每个 AJAX 调用、每个重定向后的页面都严格走这套流程——令牌生命周期管理比生成本身容易出错得多。PHP 8.4 没有魔法开关,它只是让底层工具更可靠;防线崩塌,往往始于某处 $_POST['csrf_token'] 被忽略校验,或某个 session_start() 忘了调用。
# php
# linux
# js
# 前端
# ajax
# php8
# windows
# cookie
# 浏览器
# 字节
# 工具
# session
# csrf
# if
相关文章:
免费制作小说封面的网站有哪些,怎么接网站批量的封面单?
网站微信制作软件,如何制作微信链接?
定制建站流程解析:需求评估与SEO优化功能开发指南
如何在Windows虚拟主机上快速搭建网站?
建站之星在线客服如何快速接入解答?
创业网站制作流程,创业网站可靠吗?
公司网站设计制作厂家,怎么创建自己的一个网站?
清单制作人网站有哪些,近日“兴风作浪的姑奶奶”引起很多人的关注这是什么事情?
如何快速上传建站程序避免常见错误?
如何打造高效商业网站?建站目的决定转化率
香港服务器选型指南:免备案配置与高效建站方案解析
盐城做公司网站,江苏电子版退休证办理流程?
枣阳网站制作,阳新火车站打的到仙岛湖多少钱?
在线ppt制作网站有哪些,请推荐几个好的课件下载的网站?
中山网站制作网页,中山新生登记系统登记流程?
一键制作网站软件下载安装,一键自动采集网页文档制作步骤?
表情包在线制作网站免费,表情包怎么弄?
网站制作公司哪里好做,成都网站制作公司哪家做得比较好,更正规?
家族网站制作贴纸教程视频,用豆子做粘帖画怎么制作?
如何快速查询网址的建站时间与历史轨迹?
高防服务器租用首荐平台,企业级优惠套餐快速部署
如何在Golang中使用encoding/gob序列化对象_存储和传输数据
建站ABC备案流程中有哪些关键注意事项?
标准网站视频模板制作软件,现在有哪个网站的视频编辑素材最齐全的,背景音乐、音效等?
如何用美橙互联一键搭建多站合一网站?
邀请函制作网站有哪些,有没有做年会邀请函的网站啊?在线制作,模板很多的那种?
如何通过可视化优化提升建站效果?
如何用5美元大硬盘VPS安全高效搭建个人网站?
在线教育网站制作平台,山西立德教育官网?
合肥做个网站多少钱,合肥本地有没有比较靠谱的交友平台?
如何选择长沙网站建站模板?H5响应式与品牌定制哪个更优?
,柠檬视频怎样兑换vip?
免费公司网站制作软件,如何申请免费主页空间做自己的网站?
常州企业网站制作公司,全国继续教育网怎么登录?
如何撰写建站申请书?关键要点有哪些?
建站之星与建站宝盒如何选择最佳方案?
购物网站制作公司有哪些,哪个购物网站比较好?
公司网站制作费用多少,为公司建立一个网站需要哪些费用?
如何用景安虚拟主机手机版绑定域名建站?
建站主机选购指南:核心配置与性价比推荐解析
上海网站制作开发公司,上海买房比较好的网站有哪些?
,有什么在线背英语单词效率比较高的网站?
如何在Windows 2008云服务器安全搭建网站?
如何快速重置建站主机并恢复默认配置?
招贴海报怎么做,什么是海报招贴?
网站按钮制作软件,如何实现网页中按钮的自动点击?
网站制作公司排行榜,抖音怎样做个人官方网站
如何通过NAT技术实现内网高效建站?
道歉网站制作流程,世纪佳缘致歉小吴事件,相亲网站身份信息伪造该如何稽查?
装修招标网站设计制作流程,装修招标流程?
*请认真填写需求信息,我们会在24小时内与您取得联系。