php表单加入Token防止重复提交的方法分析

php表单加入Token防止重复提交的方法分析

http://www.jb51.net/article/94395.htm

 

这篇文章主要介绍了php表单加入Token防止重复提交的方法,结合实例形式分析了Token防止重复提交的原理与使用技巧,需要的朋友可以参考下

 

本文实例讲述了php表单加入Token防止重复提交的方法。分享给大家供大家参考,具体如下:

 

Token浅谈

Token,就是令牌,最大的特点就是随机性,不可预测。一般黑客或软件无法猜测出来。

那么,Token有什么作用?又是什么原理呢?

Token一般用在两个地方——防止表单重复提交、anti csrf攻击(跨站点请求伪造)。

两者在原理上都是通过session token来实现的。当客户端请求页面时,服务器会生成一个随机数Token,并且将Token放置到session当中,然后将Token发给客户端(一般通过构造hidden表单)。下次客户端提交请求时,Token会随着表单一起提交到服务器端。

然后,如果应用于“anti csrf攻击”,则服务器端会对Token值进行验证,判断是否和session中的Token值相等,若相等,则可以证明请求有效,不是伪造的。

不过,如果应用于“防止表单重复提交”,服务器端第一次验证相同过后,会将涩session中的Token值更新下,若用户重复提交,第二次的验证判断将失败,因为用户提交的表单中的Token没变,但服务器端session中Token已经改变了。

上面的session应用相对安全,但也叫繁琐,同时当多页面多请求时,必须采用多Token同时生成的方法,这样占用更多资源,执行效率会降低。因此,也可用cookie存储验证信息的方法来代替session Token。比如,应对“重复提交”时,当第一次提交后便把已经提交的信息写到cookie中,当第二次提交时,由于cookie已经有提交记录,因此第二次提交会失败。

不过,cookie存储有个致命弱点,如果cookie被劫持(xss攻击很容易得到用户cookie),那么又一次gameover。黑客将直接实现csrf攻击。

php表单加入Token防止重复提交的方法分析

所以,安全和高效相对的。具体问题具体对待吧。

php表单加入Token防止重复提交

原理在于生成一个随机字符串放在session里,提交表单后来验证这个字符串,可以做到防止他人自己写form来欺骗提交,重复提交或者双击提交。

php表单加入Token防止重复提交的方法分析

简单的用php实现的代码如下:

 
<?php
/*
* PHP简单利用token防止表单重复提交
* 此处理方法纯粹是为了给初学者参考
*/
session_start();
function
set_token() {
  
$_SESSION
[
'token'
] = md5(microtime(true));
}
function
valid_token() {
  
$return
=
$_REQUEST
[
'token'
] ===
$_SESSION
[
'token'
] ? true : false;
  
set_token();
  
return
$return
;
}
//如果token为空则生成一个token
if
(!isset(
$_SESSION
[
'token'
]) ||
$_SESSION
[
'token'
]==
''
) {
  
set_token();
}
if
(isset(
$_POST
[
'test'
])){
  
if
(!valid_token()){
    
echo
"token error"
;
  
}
else
{
    
echo
'成功提交,Value:'
.
$_POST
[
'test'
];
  
}
}
?>
<form method=
"post"
action=
""
>
  
<input type=
"hidden"
name=
"token"
value=
"<?php echo $_SESSION['token']?>"
>
  
<input type=
"text"
name=
"test"
value=
"Default"
>
  
<input type=
"submit"
value=
"提交"
/>
</form>

上面的比较简单一点的方法,下面的代码更加安全一点。

Token.php

 
<?php
/*
 
* Created on 2013-3-25
 
*
 
* To change the template for this generated file go to
 
* Window - Preferences - PHPeclipse - PHP - Code Templates
 
*/
function
getToken(
$len
= 32,
$md5
= true) {
  
# Seed random number generator
  
# Only needed
for
PHP versions prior to 4.2
  
mt_srand((double) microtime() * 1000000);
  
# Array of characters, adjust
as
desired
  
$chars
=
array
(
    
'Q'
,
    
'@'
,
    
'8'
,
    
'y'
,
    
'%'
,
    
'^'
,
    
'5'
,
    
'Z'
,
    
'('
,
    
'G'
,
    
'_'
,
    
'O'
,
    
'`'
,
    
'S'
,
    
'-'
,
    
'N'
,
    
'<'
,
    
'D'
,
    
'{'
,
    
'}'
,
    
'['
,
    
']'
,
    
'h'
,
    
';'
,
    
'W'
,
    
'.'
,
    
'/'
,
    
'|'
,
    
':'
,
    
'1'
,
    
'E'
,
    
'L'
,
    
'4'
,
    
'&'
,
    
'6'
,
    
'7'
,
    
'#'
,
    
'9'
,
    
'a'
,
    
'A'
,
    
'b'
,
    
'B'
,
    
'~'
,
    
'C'
,
    
'd'
,
    
'>'
,
    
'e'
,
    
'2'
,
    
'f'
,
    
'P'
,
    
'g'
,
    
')'
,
    
'?'
,
    
'H'
,
    
'i'
,
    
'X'
,
    
'U'
,
    
'J'
,
    
'k'
,
    
'r'
,
    
'l'
,
    
'3'
,
    
't'
,
    
'M'
,
    
'n'
,
    
'='
,
    
'o'
,
    
'+'
,
    
'p'
,
    
'F'
,
    
'q'
,
    
'!'
,
    
'K'
,
    
'R'
,
    
's'
,
    
'c'
,
    
'm'
,
    
'T'
,
    
'v'
,
    
'j'
,
    
'u'
,
    
'V'
,
    
'w'
,
    
','
,
    
'x'
,
    
'I'
,
    
'$'
,
    
'Y'
,
    
'z'
,
    
'*'
  
);
  
# Array indice friendly number of chars;
  
$numChars
=
count
(
$chars
) - 1;
  
$token
=
''
;
  
# Create random token at the specified length
  
for
(
$i
= 0;
$i
<
$len
;
$i
++)
    
$token
.=
$chars
[mt_rand(0,
$numChars
)];
  
# Should token be run through md5?
  
if
(
$md5
) {
    
# Number of 32 char chunks
    
$chunks
=
ceil
(
strlen
(
$token
) / 32);
    
$md5token
=
''
;
    
# Run each chunk through md5
    
for
(
$i
= 1;
$i
<=
$chunks
;
$i
++)
      
$md5token
.= md5(
substr
(
$token
,
$i
* 32 - 32, 32));
    
# Trim the token
    
$token
=
substr
(
$md5token
, 0,
$len
);
  
}
  
return
$token
;
}
?>

form.php

 
<?php
include_once
(
"token.php"
);
$token
= getToken();
session_start();
$_SESSION
[
'token'
] =
$token
;
?>
<form action=
"action.php"
method=
"post"
<input type=
"hidden"
name=
"token"
value=
"<?=$token?>"
/>
<!-- 其他input submit之类的 -->
</form>

action.php

 

 
<?php
session_start();
if
(
$_POST
[
'token'
] ==
$_SESSION
[
'token'
]){
  
unset(
$_SESSION
[
'token'
]);
  
echo
"这是一个正常的提交请求"
;
}
else
{
  
echo
"这是一个非法的提交请求"
;
}
?>
版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/113407.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)


相关推荐

  • eclipse方法自动注释_eclipse快速补全

    eclipse方法自动注释_eclipse快速补全1、Eclipse自动补全功能设置,默认是键入“.”才会有代码提示,否则就只有按“Alt+/”组合键。通过下面的设置可以按照你自己的需求显示代码提示。1)、直接设置打开Eclipse->Window->Perferences->Java->Editor->ContentAssist,右边出现的选项中,有一个AutoactivationtriggersorforJava

  • 字符串反转的实现方法总结「建议收藏」

    文章目录方法1:对称交换法方法2:函数递归法方法3:列表反转法方法4:循环反向迭代法方法5:倒序切片法方法6:遍历索引法方法7:反向遍历索引法方法8:列表弹出法方法9:反向循环迭代法方法10:累积相加法方法11:匿名函数法方法12:列表倒序法方法13:双向队列排序法方法14:双向队列反转法方法1:对称交换法str=’abcdef’deff(s):s=list(s)…

  • UnicodeEncodeError: ‘gbk’ codec can’t encode character ‘\U0001f914’ in posit[通俗易懂]

    UnicodeEncodeError: ‘gbk’ codec can’t encode character ‘\U0001f914’ in posit[通俗易懂]原码#保存爬取结果(微博评论)result.to_csv(‘egg_comment.csv’,encoding=’gbk’)报错UnicodeEncodeError:’gbk’codeccan’tencodecharacter’\U0001f914’inposit原因网上很多内容都是采用utf8编码的,gbk无法编码字符’\U0001f914’,所以’utf8’格式…

  • CSS3 Transition[通俗易懂]

    CSS3 Transition[通俗易懂]Transition简介Transition可以设置CSS属性的过渡效果,它有以下几个属性。transition-property用于指定应用过渡属性的名称transition-duration用于指定这个过渡的持续时间transition-delay用于指定延迟过渡的时间transition-timing-function用于指定过渡的类型transition-p…

  • LaTeX 换行、换页、空白空间[通俗易懂]

    LaTeX 换行、换页、空白空间[通俗易懂]一般来说,我们不推荐你改变默认的LaTeX文档结构。当然,我们有时候也有这个需求。所以,在本文中,我们将解释如何在文档中插入空行,以及插入任意的空白。

  • Unity3D中使用Leap Motion进行手势控制[通俗易懂]

    Unity3D中使用Leap Motion进行手势控制

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号